ライブ・フォレンジック（Live Forensics）とは、コンピュータやデジタルデバイスが稼働している状態のまま、システム上の情報を調査・収集するデジタル・フォレンジックの一手法です。一般的なデジタル・フォレンジックでは、デバイスの電源をオフにしてディスクの内容を解析しますが、ライブ・フォレンジックでは、システムを停止させずにメモリや稼働中のプロセス情報、ネットワーク接続の状態、実行中のプログラムのデータなど、リアルタイムの情報を取得します。この手法は、揮発性データ（電源を切ると消えてしまう情報）の保存や緊急対応が必要な場合に特に重要です。

ライブ・フォレンジックが必要とされる理由

ライブ・フォレンジックが必要とされる理由は、デジタルデータには揮発性の高い情報が含まれるためです。たとえば、メモリ内の情報やネットワークの接続状況、実行中のプロセスは電源がオフになると消去されるため、通常のフォレンジック手法では復元が難しいものです。ライブ・フォレンジックを用いることで、システムが動作中にしか取得できない以下のような情報を記録できます。

• メモリ内のデータ（パスワード、暗号化キー、データの断片など）
• ネットワークの接続状況（通信中のIPアドレス、通信内容の解析）
• 実行中のプロセス（実行中のプログラム、マルウェアの検出など）
• ログ情報（リアルタイムのシステムイベントやユーザーアクティビティ）

ライブ・フォレンジックの手順と方法

ライブ・フォレンジックの調査手順は、システムの稼働状態を維持しつつ、以下の順で情報を収集していきます。

1. ネットワーク情報の収集

調査対象のシステムが通信しているネットワークの接続状況を収集します。ネットワークの状態やIPアドレス、通信ポート、通信中の外部サーバーのIPなど、外部との通信に関する情報を確認し、外部からの攻撃や不正アクセスを検出します。

2. メモリダンプの取得

物理メモリ（RAM）上のデータをダンプし、後の解析に利用します。メモリには揮発性データとして、実行中のプロセスや暗号化キー、パスワードが含まれることが多く、これを取得することでマルウェアや不正アクセスの証拠を残すことができます。

3. 実行中のプロセスとサービスの確認

システム上で実行中のプロセスやサービスを確認し、悪意のあるプログラムや不審なプロセスが存在しないかを確認します。これにより、マルウェアが現在実行中であるかを判断したり、異常なサービスを特定することが可能です。

4. ログファイルの取得

システムのリアルタイムなイベントやアクティビティを記録したログファイルを収集します。特に、セキュリティイベントログやユーザーログオン、ログオフ履歴などは、不正アクセスや内部からの不正行為の証拠となります。

5. ファイルのタイムライン分析

システム上で作成、変更、アクセスされたファイルのタイムスタンプを分析し、怪しい活動や不正アクセスの痕跡を追います。これにより、悪意あるプログラムがいつ実行されたかや、ユーザーの不正な操作が行われた時刻を特定できます。

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから

ライブ・フォレンジックで使用される主なツール

ライブ・フォレンジックを実施する際に使用される代表的なツールには、以下のようなものがあります。

• Volatility：メモリダンプを解析し、プロセスリスト、ネットワーク接続、レジストリ情報などを抽出するツール。
• FTK Imager：ディスクやメモリのイメージを取得するためのツールで、後のフォレンジック分析に活用可能です。
• Wireshark：ネットワークトラフィックのキャプチャと解析を行うツールで、通信内容の解析や異常な通信の検出に使用されます。
• Process Hacker：実行中のプロセスやサービスの情報をリアルタイムで監視し、不正プロセスの検出に役立てられます。
• Mandiant Redline：メモリやファイルシステムの調査、ライブ分析が可能なツールで、マルウェアの検出に特化した機能を備えています。

ライブ・フォレンジックのメリットとデメリット

メリット

• リアルタイム情報の取得：揮発性の高いデータ（メモリ、ネットワーク接続、実行中のプロセスなど）を取得し、証拠として残すことが可能です。
• マルウェアの検出：稼働中のシステムから直接データを取得するため、通常のフォレンジック手法では検出が難しいマルウェアや不正プロセスを発見しやすい。
• 迅速な初期対応：システムを停止せずにデータ収集が行えるため、緊急の対応や被害拡大の防止に役立ちます。

デメリット

• データの改変リスク：システムが稼働中のため、取得中にデータが変化する可能性があり、証拠の完全性に影響を与えることがあります。
• 証拠保全が難しい：ライブ・フォレンジックではリアルタイムのデータが対象となるため、厳密な証拠保全が難しく、法的な証拠としての利用に制約がある場合があります。
• 高い技術力が必要：ライブ・フォレンジックは、特定の技術知識が必要であり、データ収集や分析のスキルが要求されます。

ライブ・フォレンジックと標準フォレンジックの違い

ライブ・フォレンジックの法的課題

ライブ・フォレンジックはリアルタイムでの証拠収集に優れていますが、法的証拠として使用する際には次のような課題があります。

1. 証拠の一貫性：稼働中のシステムのデータは変動しやすく、証拠の一貫性を保つことが難しいため、証拠保全の観点で課題があります。
2. 法的な証拠としての制約：リアルタイムのデータは、法廷での証拠としての受け入れが難しい場合もあり、従来のディスクイメージ取得と比べて法的効力に制約があります。
3. 取得範囲の制限：特定の条件下での情報収集となるため、証拠として十分な内容が得られない場合があります。

まとめ

ライブ・フォレンジックは、システムが稼働中のまま揮発性のデータを収集できる強力な手法であり、緊急対応やリアルタイムでのマルウェア調査に特化しています。メモリ内の情報やネットワーク接続の解析を行うことで、通常のフォレンジック手法では見つからない証拠を収集できる反面、データの改変リスクや証拠保全の難しさといった課題もあります。