セキュリティに初めて触れる開発者の皆さん、そして日々のインフラ運用でお疲れ様のIT担当者の皆さん、こんにちは！
突然ですが、皆さんは自分の家の鍵をどこに置いていますか？ そして、もし万が一、泥棒に入られてしまったとき、「どこから入られたか」「何を盗られたか」を警察や裁判所に証明するためには、何が必要だと思いますか？
実は、コンピューターの世界でもこれと全く同じことが起きます。サーバーがサイバー攻撃を受けたとき、犯人が残した足跡をたどり、法廷や社内の調査委員会で「これが決定的証拠です！」と胸を張って突きつけるためには、「正しい手順で証拠を集め、誰もそれをすり替えていないと証明すること」が何よりも大切なんです。
今回は、そんなデジタル捜査の最前線である「メモリフォレンジックにおける法的証拠能力の確保（Chain of Custody：証拠保全の連鎖）」について、身近な例えを交えながら、一歩ずつ優しく紐解いていきましょう！
—
1. なぜ「メモリ（RAM）」の証拠がそんなに大事なの？
パソコンやサーバーのメモリ（RAM）って、人間でいうところの「短期記憶」のようなものです。今まさに開いているアプリや、入力中のパスワード、そして「現在進行形で悪さわまりをしている悪意あるプログラム（マルウェア）」の姿が、そのままの形で残されています。
これを「家の例え」で考えてみましょう。
泥棒があなたの家に入ってきて、リビングのソファに座り、コーヒーを飲みながらパソコンを操作していたとします。
- ハードディスク（HDDやSSD）の調査：家全体の「間取り」や、机の引き出しにしまってある「日記帳」を見るようなものです。過去の履歴は分かりますが、今まさに何をしているかは分かりません。
- メモリ（RAM）の調査：まさに泥棒がソファに座っている「その瞬間」の様子を写真に撮るようなものです。
泥棒が暴れている「今」をとらえるメモリですが、厄介な性質があります。それは「電源を切ると、記憶がすべて消えてしまう（揮発性）」ということです。
つまり、サーバーの電源をプツンと切ってしまうと、犯人の決定的な証拠もすべて消えてしまいます。「わっ、変な動きをしているから、慌てて電源を切ろう！」というのは、実は犯人の足跡を自分で消し去ってしまう最大の悪手なんですね。
—
2. 法廷で勝てる証拠にするための「Chain of Custody（証拠の連鎖）」とは？
さて、電源を切らずにメモリの中身を綺麗に抜き出す（これを「メモリダンプ」と言います）ことに成功したとしましょう。
しかし、ここで安心するのはまだ早いです。もしあなたが集めた証拠データを、適当なUSBメモリに入れて、自分の机の引き出しにポイッと放り込んでおいたとしたら……。
裁判で弁護士からこう言われたらどうでしょう？
> 「その証拠データ、本当にあなたが入手したときのままですか？ 途中であなたがデータを書き換えて、犯人を捏造したんじゃないですか？」
これに「そんなことしていません！」と口頭で言っても、法廷では通用しません。
ここで必要になるのが、Chain of Custody（証拠保全の連鎖／チェーン・オブ・カストディ）という考え方です。
これは、「誰が、いつ、どこで、どのように証拠を手に入れ、誰の手を渡って、どこで保管されているのか」の全行程を、一ミリの隙もなく記録し続けるプロセスのことです。現場の刑事ドラマで、証拠品をジップロックに入れて厳重に管理しているシーンを見たことがあるかもしれませんが、あれのデジタル版だと思ってください。
—
3. 実践！ 証拠の改ざんを防ぐ「ハッシュ値（デジタル署名）」の仕組み
「でも、デジタルデータなんて、コピーも書き換えも簡単じゃない？」と思いますよね。その通りです。だからこそ、デジタルフォレンジックの世界では「ハッシュ値（SHA-256など）」という魔法の技術を使います。
ハッシュ値とは、ファイルの中身を混ぜ合わせて作られる「そのデータだけのユニークな指紋（文字列）」のようなものです。
データが1バイトでも書き換えられると、ハッシュ値は全く別の文字列に変化します。
メモリを採取した瞬間、私たちは必ずこのハッシュ値を計算して記録します。
ハッシュ値確認のコード例（Linux環境のイメージ）
実務の現場では、メモリダンプを取得した直後に、以下のようなコマンドでハッシュ値を算出し、記録を残します。
# 1. サーバーのメモリをファイル（memory_dump.raw）として安全に吸い出す
# （※実際には LiME や DumpIt などの専用ツールを使います）
sudo ./acquire_memory.sh -o /secure/evidence/memory_dump.raw
# 2. 採取したファイルのハッシュ値（SHA-256）を計算する
sha256sum /secure/evidence/memory_dump.raw
# 出力例:
# e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 /secure/evidence/memory_dump.rawこの出力された長い文字列（SHA-256ハッシュ）を、インシデント対応の報告書や証拠管理台帳にガッチリと書き留めておきます。解析を行う前や、裁判に提出する直前にもう一度同じ計算をして、ハッシュ値が一致していれば、「このデータは採取した瞬間から一言一句たりとも改ざんされていません！」と胸を張って証明できるわけです。
—
4. 証拠保全プロセスにおける「黄金のルール」
それでは最後に、新人のIT担当者や開発者の皆さんが、万が一のインシデントに直面したときに絶対に守るべき「証拠保全の基本原則」をまとめます。
1. 現場の電源をむやみに切らない
- 焦ってシャットダウンすると、揮発性の重要な証拠が消えます。手順に従って冷静にメモリダンプを採取しましょう。
2. 証拠ファイルは絶対に「読み込み専用（Read-Only）」で扱う
- 生の証拠ファイルを直接解析ツールで開いてはいけません。必ずコピー（複製）を作り、そのコピーに対して解析を行います。
3. 作業のすべてを「ログ」と「台帳」に残す
- 「何時何分に、誰が、どのツールを使って、どのコマンドを叩いたか」をすべて記録します。これを怠ると、いざというときに証拠として採用してもらえません。
セキュリティの対策というと、ファイアウォールを置いたり、パスワードを複雑にしたりといった「侵入を防ぐこと（予防）」に目が行いがちです。しかし、どれだけがっちり鍵をかけても、プロの泥棒に入られてしまうことはあります。
そんな最悪の事態が起きたとき、正確に証拠を捕まえ、守り抜く力（DFIRのスキル）は、あなたの会社やサービスを守る最後の砦となります。
小難しい用語が出てくると身構えてしまいますが、一歩ずつ、目の前の仕組みを紐解いていけば怖くありません。一緒に安全なデジタル社会を作っていきましょう！
コメント