こんにちは！セキュリティ対策やインフラの管理、本当にお疲れ様です。
「インシデント対応」や「フォレンジック」なんて言葉を聞くと、なんだか映画の世界の出来事のようで、自分たちのチームには関係ない…なんて思っていませんか？
でも、もし明日、あなたが管理しているサーバーがハッカーに乗っ取られたり、社内のパソコンから重要なデータがごっそり盗まれたりしたらどうでしょう？ 「とりあえず再起動しよう！」なんて焦って電源を切ってしまうと、実は法廷や警察で犯人を追い詰めるための決定的な証拠（デジタル証拠）を、自分の手で消し飛ばしてしまうことになるんです。
今回は、セキュリティに初めて触れる開発者や新人のIT担当者の方向けに、メモリー（RAM）という最も儚くて重要な証拠をどうやって守り、法廷でも通用する「証拠のバトンタッチ（Chain of Custody）」を行えばいいのか、身近な例えを交えながら一歩ずつ優しく紐解いていきましょう！
—
1. なぜ「メモリの証拠保全」が重要なのか？（家の鍵と泥棒の例えで理解する）
想像してみてください。ある日、あなたの家が空き巣に入られました。
泥棒は部屋の中に侵入し、テーブルの上を荒らし、金庫を物色して逃げていきました。
ここで、警察が到着する前に、あなたが「あ、床が汚れているから掃除機をかけよう」「散らかった家具を元の位置に戻そう」と片付けてしまったらどうなるでしょうか？
泥棒の足跡（指紋や足跡）はすべて消え去り、警察は「誰が、どうやって侵入したのか」を証明できなくなってしまいますよね。
コンピュータの世界でも全く同じことが言えます。
攻撃者がシステムに侵入した形跡、例えば悪意のあるプログラム（マルウェア）がこっそり動いている痕跡や、盗んだパスワードを一時的に記憶している場所は、ハードディスクではなく、パソコンの「メモリー（RAM）」という非常に揮発性（電源を切ると消える性質）の高い場所に存在しています。
電源を切ったり、慌ててパソコンを再起動したりすることは、家に入られた直後に証拠をすべて掃除機で吸い取るようなものです。だからこそ、電源を入れたままメモリーのデータをそっくりそのまま安全に抜き取る「メモリフォレンジック」が必要になるのです。
—
2. 法廷で負けないための「証拠のバトンタッチ（Chain of Custody）」
さて、無事にメモリのデータを抜き取ることができました。でも、これで終わりではありません。
もしこのデータが裁判で「いや、このデータは警察（または調査会社）が勝手に改ざんした捏造データでしょ？」と言われてしまったら、どうでしょうか？
ここで登場するのが、今回のテーマである「Chain of Custody（証拠保全の管理・連続性）」です。
これは、いわば「証拠のバトンタッチの歴史」を完全に記録・証明する仕組みです。
- 誰が
- いつ
- どのようなツールを使って
- どこから証拠を採取し
- 誰から誰へ手渡したか
この一連の流れが1秒の狂いもなく、誰もデータを書き換えていないことが証明できて初めて、そのデータは法廷で「信頼できる証拠（証拠能力）」として認められます。
—
3. 実践！現場で使えるメモリ取得とハッシュ値の記録手順
では、実際にインシデント現場でメモリを安全に取得し、改ざんされていないことを証明するための手順を見ていきましょう。
今回は、Windows環境を想定し、代表的なメモリ取得ツール（DumpItやLiMEなど、現場でよく使われるアプローチ）を動かしたあとに、必ず行うべき「ハッシュ値の計算」のプロセスを解説します。
ハッシュ値（SHA-256など）とは、いわばデータの「指紋」のようなものです。データが1バイトでも書き換えられると、ハッシュ値はまったく別の文字列に変わってしまいます。
以下は、取得したメモリイメージの改ざん検知と、インシデント対応記録（Chain of Custodyログ）を管理するためのサンプルスクリプト（PowerShell）です。
# ==============================================================================
# インシデント対応メモリー保全＆Chain of Custody 記録スクリプト
# 担当者: 新人IT担当者 / 開発者向けサンプル
# ==============================================================================
# 1. 取得対象の情報定義
$EvidenceName = "MemoryDump_Server01"
$CaptureDate = Get-Date -Format "yyyy-MM-dd_HH-mm-ss"
$OutputDirectory = "C:\SecureEvidence\"
$ImageFileName = "${EvidenceName}_${CaptureDate}.raw"
$DestinationPath = Join-Path $OutputDirectory $ImageFileName
$LogFilePath = Join-Path $OutputDirectory "ChainOfCustody_Log.txt"
# 出力用ディレクトリが存在しない場合は作成します
if (!(Test-Path $OutputDirectory)) {
New-Item -ItemType Directory -Path $OutputDirectory | Out-Null
}
Write-Host "[*] メモリ保全プロセスを開始します..." -ForegroundColor Cyan
# [注意] 実際にはここで信頼されたメモリ取得ツール（例: DumpIt等）を実行します
# 例: Start-Process -FilePath "C:\Tools\DumpIt.exe" -ArgumentList "/Q" -Wait
# 2. データの「指紋（ハッシュ値）」を計算する
# 証拠ファイルが途中で改ざんされていないことを証明するため、SHA-256を必ず取得します
Write-Host "[*] 取得したメモリイメージのSHA-256ハッシュ値を計算中..." -ForegroundColor Yellow
$FileHash = Get-FileHash -Path $DestinationPath -Algorithm SHA256
# 3. Chain of Custody（証拠の連続性）記録をテキストファイルに残す
$LogContent = @"
==================================================
【Chain of Custody 記録書】
保全日時: $(Get-Date)
証拠名称: $EvidenceName
ファイル名: $ImageFileName
格納場所: $DestinationPath
保全担当者: $([System.Security.Principal.WindowsIdentity]::GetCurrent().Name)
SHA-256 ハッシュ値: $($FileHash.Hash)
備考: 電源を落とさずにライブ状態でメモリを抽出し、直ちにハッシュ値を固定化。
==================================================
"
# ログファイルに追記
Add-Content -Path $LogFilePath -Value $LogContent
Write-Host "[+] メモリの保全とハッシュ値の記録が完了しました！" -ForegroundColor Green
Write-Host "[+] 算出されたハッシュ値: $($FileHash.Hash)" -ForegroundColor Whiteこのコードのポイント
1. ハッシュ値（SHA-256）の取得:
Get-FileHashコマンドを使って、取得したメモリダンプの「指紋」を確実に残しています。これにより、「このファイルは取得した瞬間から1ビットも書き換えられていない」という強力な証明になります。
2. 担当者と日時の記録:
誰がこの作業を行ったのか（[System.Security.Principal.WindowsIdentity]::GetCurrent().Name）を自動でログに残り、言い逃れやミスのない体制を作ります。
—
4. 証拠管理でやってはいけない「NG行動」
最後に、現場で慌てているときによやってしまいがちな「やってはいけないNG行動」をいくつか挙げておきます。これだけは絶対に避けてくださいね！
- NG 1: 調査対象のPCから直接ファイルを保存する
保全したメモリデータを、あろうことか「調査対象のパソコンの中」の適当なフォルダに保存してしまう人がたまにいます。これでは証拠を保存する過程で元のディスクを上書きしてしまい、別の重要な証拠を破壊してしまいます。証拠は必ず「外付けのクリーンな媒体（USBメモリやネットワーク上の安全な保管庫）」に保存しましょう。
- NG 2: 担当者の引き継ぎを口頭だけで済ませる
「あ、じゃあこのUSBメモリ、後よろしくね」と手渡しだけで済ませるのは厳禁です。「誰が、いつ、どの状態で受け取ったか」を必ず紙やデジタル台帳（Chain of Custody フォーム）に署名または記録するようにしてください。
—
一歩ずつ、確実な対策を
いかがでしたでしょうか？
「Chain of Custody」や「メモリフォレンジック」と聞くと難しく感じますが、要するに「事件現場（パソコン）の証拠を正しい手順で丁寧に回収し、誰がどう扱ったのかを日記のように正確に残すこと」です。
セキュリティの世界は、日々の地道な積み重ねが会社やサービスを守る大きな盾になります。もしもの時に備えて、今のうちから「もしインシデントが起きたら、どのツールを使い、どこにログを残すか」をチームで確認しておきましょう。
一歩ずつ、確実にスキルアップしていきましょうね！応援しています！
コメント