フォレンジックとは何か
フォレンジックとは、端末やアカウントに残った記録から、何がいつ起きたのかを組み立てる手法です。
新しい情報を外から探してくるものではありません。すでにある記録を、変えずに読む仕事です。
進む順番
- 何を知りたいのかを決めます。ここが曖昧だと、範囲も費用も広がります。
- 対象になる端末とアカウントを決め、権限を確かめます。
- 状態を変えずに複製を作り、取り込んだ時点でハッシュ値を記録します。
- 記録の単位で確認し、複数の記録を突き合わせます。
- 分かったことと分からなかったことを分けて、書面にまとめます。
依頼する側が用意すること
- いつから様子がおかしいかという時期
- 対象になる端末やアカウントの権限
- すでに行った操作。初期化や再設定をしたかどうかは特に大切です
- 何に使うのか。社内の判断か、法的な手続か
時間がかかる理由
複製を作る作業そのものに時間がかかります。容量が大きいほど長くなります。
急いで結論を出すと、あとから覆ります。急ぐべきなのは保全であって、結論ではありません。
