CompTIA SY0-701: インシデント対応、フォレンジック、アセスメント — 学習ガイド

By Laurynas Brazys · 20 July 2026 · #comptia #sy0-701 #certification #exam-prep #study-guide

こちらの一部です： CompTIA Security+ SY0-701 — 学習ガイド. 検証済みの解答で練習： CompTIA試験ハブ, または時間制限付き模擬試験に挑戦： ExamRoll.io.

デジタルフォレンジック: 保全、収集、分析

フォレンジックの健全性 (Forensic soundness) は、証拠がその完全性と許容性を維持する方法で収集されなければならないという原則に基づいています。保全は、インシデントが疑われた瞬間に始まります。具体的には、ログの凍結、自動クリーンアップの一時停止、保管者 (custodian) へのリーガルホールドの発行などです。収集は、フォレンジックイメージを実際に取得する段階です。通常、dd、FTK Imager、EnCaseのようなツールを使用してストレージメディアのビット単位のコピーを作成したり、WinPmemやLiMEのようなツールを使用してメモリキャプチャを取得したりします。すべての収集物には、イメージング直後に計算された暗号学的ハッシュ (SHA-256) を添付する必要があります。

# Create forensic image and compute hash simultaneously
dd if=/dev/sda bs=4M | tee disk.img | sha256sum > disk.img.sha256

# Verify integrity after transfer
sha256sum -c disk.img.sha256

Chain of custody (証拠の連鎖) の文書には、誰が、いつ、なぜ証拠を取り扱ったかをすべて記録します。Chain of custodyに不備があると、法的手続きにおいて証拠が認められなくなったり、民事訴訟の信頼性が損なわれたりする可能性があります。揮発性の順序 (order of volatility) は収集の順序を決定します。電源が切られると揮発性の高いデータから失われるため、まずCPUレジスタとキャッシュ、次にRAM、スワップ、そしてディスクの順に収集します。

分析では、アーティファクトを調査します。具体的には、ブラウザ履歴、プリフェッチファイル、レジストリハイブ (特に NTUSER.DAT、SYSTEM、SOFTWARE)、イベントログ、$MFTエントリ、ネットワークキャプチャなどです。タイムライン分析では、複数のソースからのイベントを関連付けて、攻撃者の活動を再構築します。Autopsy、Volatility (メモリ用)、Wireshark (ネットワークキャプチャ用) のようなツールは、フォレンジックツールキットの標準的な構成要素です。

実践シナリオ: 内部脅威のフォレンジック調査

ある製薬会社のDLPシステムが、上級研究員が退職する前日に、彼女のワークステーションから個人のクラウドストレージアカウントへ異常な量のファイル転送が行われたことを検知しました。セキュリティチームは、ワークステーションが再イメージングされる前にそのイメージを保全し、ディスクとメモリの両方をキャプチャしました。$MFTのフォレンジック分析により、90分間に14,200個のファイルがアクセスされていたことが明らかになりました。これは通常の業務とは一致しないパターンです。ブラウザの履歴には、個人のDropboxアカウントへの認証が記録されていました。レジストリのUSBSTORキーを分析したところ、3日前にUSBドライブが接続されており、そのシリアル番号が会社の資産台帳に登録されていないことが判明しました。メモリイメージには、外部に持ち出されたディレクトリと一致するファイルリストの断片が含まれていました。この証拠パッケージ (検証済みハッシュを持つディスクイメージ、Chain of custody文書、裏付けとなるメモリアーティファクト) は、民事訴訟を提起し、法執行機関に照会するのに十分なものでした。

← セキュリティ運用、監視、検知 · すべてのドメイン · アプリケーションとWebセキュリティ →

これらの問題を練習する → · ExamRoll.ioで時間制限付き練習 →