デジタル証拠保全の連鎖（チェーン・オブ・カストディ）| Decripte Security

証拠保全の連鎖（chain of custody）とは、デジタル証拠の管理、 移転、分析、処分の一連の流れを記録する文書化されたプロセスです。これは、 調査および司法手続きにおいて証拠の法的許容性と完全性を保証するために不可欠です。

証拠保全の連鎖の法的重要性

デジタル証拠が司法手続きにおいて許容されるためには、それらが 改ざんや汚染なく、完全性を保って収集、保全、分析されたことを 証明する必要があります。

証拠保全の連鎖の断絶は証拠の排除につながり、刑事捜査や 民事訴訟を損なう可能性があります。企業の文脈では、適切に保全されなかった 証拠は、悪意ある従業員に対する訴訟を不可能にしたり、 損害回復を制限したりする可能性があります。

基本原則

揮発性の順序: 証拠は揮発性の高い順に収集します。 まずメモリの記録、次にログ、ディスク、バックアップ、物理的な 文書。

非改変: 原本の証拠を改変してはなりません。常に hash によって検証されたビット単位のフォレンジックコピー上で作業します。

完全な記録: すべての行為を記録しなければなりません。誰が収集したか、 いつ、どこで、どのように、使用したツール、計算した hash。

追跡可能性: 証拠にアクセスしたすべての人物の記録を 保管、分析、移転を含めて維持します。

証拠保全の連鎖の各段階

1. 特定: 証拠の潜在的な情報源を特定し、文書化します。 取り扱いの前に初期状態を写真撮影し記録します。

2. 収集: 適切なフォレンジック手法を用いて証拠を取得します。 ディスクの場合は、write blockers を使用してビット単位のイメージを作成します。メモリの場合は、完全な dump を取得します。

3. Hash/完全性: 完全性検証のため、原本の証拠とコピーの 暗号 hash（MD5、SHA-256）を計算します。

4. 保全: 原本の証拠を、物理的および環境的なアクセス制御 （温度、湿度）を備えた、安全で封印された場所に保管します。

5. 分析: 原本ではなく、検証済みのコピー上でのみ作業します。 実施したすべての分析を文書化します。

6. 提示: 方法論、所見、結論を詳述した鑑定報告書を 作成し、証拠保全の連鎖を添付します。

7. 返却/廃棄: 事案の終結後、証拠を所有者に 返却するか、保持ポリシーに従って安全に廃棄します。

証拠保全の連鎖フォーム

各証拠には、以下を含む専用のフォームが必要です:

証拠の特定: 一意の管理番号、詳細な説明 （メーカー、モデル、シリアル番号）、収集場所。

初期収集: 収集者の氏名、日時、立会人、 証拠の状態、使用したツール。

Hashes: 原本の証拠および作成された各コピーの MD5、SHA-256。

移転記録: 各移転を含む表。以下を含む: 引き渡した者の氏名、受け取った者の氏名、日時、目的、署名。

保管場所: 証拠が物理的に保管されている場所、 封印/シール番号。

実施した分析: 各分析のログ: 分析者、日付、ツール、 要約した所見。

デジタル証拠の収集

ディスクおよびストレージメディア: 偶発的な書き込みを防ぐため write blockers を使用します。dd、FTK Imager、EnCase などのツールでフォレンジックイメージを作成します。 hash を計算し文書化します。

RAM メモリ: 揮発性であるため、システムをシャットダウンする前に取得します。 ツール: LiME、DumpIt、FTK Imager（memory dump）。

システムログ: 集中型（SIEM）およびローカルのログを収集します。分析のため ネイティブ形式およびプレーンテキストでエクスポートします。

ネットワーク証拠: パケットキャプチャ（PCAPs）、firewall/proxy のログ、 アクティブな接続の dump。

Cloud および SaaS: chain of custody を尊重しつつ、プロバイダーの API と ツールを使用してデータをエクスポートします。収集の制約を文書化します。

モバイルデバイス: Cellebrite、Oxygen Forensics などの専用 ツール。リモートでの改変を防ぐため機内モードにします。

フォレンジックツール

取得: FTK Imager、dd/dcfldd、Guymager、Magnet ACQUIRE。

分析: Autopsy、Sleuth Kit、EnCase、X-Ways Forensics、Volatility （メモリ）。

Hash/検証: md5sum、sha256sum、HashMyFiles、フォレンジックツールに 組み込まれた検証機能。

Timeline: 詳細なフォレンジック timeline を作成するための log2timeline/Plaso。

Mobile: Cellebrite UFED、Oxygen Forensics、XRY、Andriller。

完全性の検証

暗号 hash は、証拠が改変されていないことを証明するために不可欠です:

MD5: レガシーなアルゴリズムであり、依然として使用されていますが、理論上の 衝突のため、単独の hash としては推奨されなくなりました。

SHA-256/SHA-512: 新しい事案に推奨され、衝突に耐性があります。

Re-hashing: メディアの劣化や破損を検出するため、保全された証拠の hash を定期的に再計算します。

Write Once Media: 長期保全のためには、WORM メディア （Write Once Read Many）を検討します。

物理的保全

梱包: 証拠を識別ラベル付きの静電気防止袋に封印します。 封印の前後に写真撮影します。

管理された環境: 温度、湿度、アクセス制限を管理した部屋に 保管します。理想的には金庫または金庫室。

ログ記録されたアクセス: 誰が証拠保管区域にいつアクセスするかを記録する 物理的なアクセス制御システム。

証拠のバックアップ: 検証済みのコピーを複数作成し、冗長性のため 別々の場所に保管します。

分析の文書化

フォレンジック分析の各ステップを文書化しなければなりません:

方法論: 認知された frameworks（NIST、ISO 27037）を参照しながら、 使用したアプローチと手法を記述します。

ツールとバージョン: 分析に使用したすべてのツールを正確な バージョンとともに列挙します。

実行したコマンド: CLI を介した分析については、正確なコマンドと 関連する output を記録します。

所見: 発見した証拠を screenshot、ログの抜粋、 特定のファイルへの参照とともに文書化します。

Timeline: デジタルアーティファクト（ファイルの timestamp、ログなど）に基づいて 事象の時系列を再構築します。

鑑定報告書

最終報告書は完全であり、専門家でない者にも理解可能でなければなりません:

Executive Summary: 非技術者向けの主要な所見を含む エグゼクティブサマリー。

証拠保全の連鎖: 完全な chain of custody フォームを添付します。

詳細な方法論: 分析がどのように実施されたかを説明する 技術的なセクション。

証拠と所見: 各証拠を分析および解釈とともに 詳細に提示します。

結論: 証拠に基づく技術的な結論であり、データが裏付ける範囲を 超えた憶測は避けます。

付録: 完全なログ、screenshot、hash、分析したファイルの 表。

特有の課題

暗号化: 暗号化された証拠は、鍵またはパスワードの 取得を必要とします。復号の試みと制約を文書化します。

アンチフォレンジック: 敵対者はアンチフォレンジック手法（wiping、 timestomp、ステガノグラフィ）を使用する場合があります。アンチフォレンジックの兆候を文書化します。

Cloud: 法域、プロバイダーへの依存、複数のリージョンにあるデータ。 収集の制約を文書化します。

IoT: ストレージが限られ独自プロトコルを用いる IoT デバイスは、 取得において特有の課題をもたらします。

ブラジルにおける法的側面

刑事訴訟法: 第158条から第184条が鑑定を扱います。第159条は、 犯罪事実の検査を公式の鑑定人が実施することを定めています。

インターネット民事枠組法: 法律12.965/2014、第10条から第11条がログの 保存および守秘解除の要件を扱います。

LGPD: 法律13.709/2018は、調査中の個人データの 収集および取り扱いに影響します。正当な利益および法的義務の遵守が適用可能な 根拠です。

カロリーナ・ディークマン法: 法律12.737/2012はデバイスへの侵入を犯罪と規定し、 フォレンジック調査の根拠として頻繁に用いられます。

認定とトレーニング

デジタル証拠を取り扱う専門家は、認知された資格の取得を目指すべきです:

国際: GCFE（GIAC Certified Forensic Examiner）、EnCE（EnCase Certified Examiner）、CHFI（Computer Hacking Forensic Investigator）、CCFP（Certified Cyber Forensics Professional）。

国内: 公式の鑑定人およびブラジルの刑事鑑定 機関が提供する認定。

テクノロジー、アンチフォレンジック手法、および法的変更の進化に追随し続けることが 不可欠です。

自動化と管理

LIMS (Laboratory Information Management Systems): 相当な量を扱う組織において、 証拠、事案、証拠保全の連鎖を管理するためのソフトウェア。

RFID/Barcodes: 証拠の移動を自動的に追跡するための タグ。

Digital Signatures: 否認防止のための chain of custody 文書への デジタル署名。