【技術者向け】ランサムウェアのフォレンジック調査｜証拠保全から原因特定まで
ランサムウェア被害が発生した際、復旧作業と並行して重要なのがフォレンジック調査です。根本原因を特定しないまま復旧しても、同じ脆弱性や設定不備を突かれて再び被害に遭う可能性があります。また、法的対応や保険請求、経営層への報告においても、調査結果は不可欠な証拠となります。
本記事では、セキュリティエンジニアやCSIRT担当者向けに、フォレンジック調査の目的と重要性、証拠保全の手順、侵入経路の特定方法、タイムライン分析、ランサムウェア検体の解析、調査報告書の作成までを解説します。
フォレンジック調査の目的と重要性
フォレンジック調査は、インシデント対応において復旧と同等以上に重要なプロセスです。
フォレンジック調査の目的
- 侵入経路の特定
- 攻撃者がどのような手法で組織のネットワークに侵入したかを特定します。VPN機器の脆弱性、フィッシングメール、RDPの不正アクセスなど、侵入経路を明らかにすることで、同じ経路からの再侵入を防止できます。
- 被害範囲の確定
- どのシステム、データ、アカウントが侵害されたかを正確に把握します。暗号化されたファイルだけでなく、窃取された可能性のあるデータ、作成された不正アカウント、変更された設定などを特定します。
- 再発防止策の策定
- 調査で判明した脆弱性や設定不備を修正するための具体的な対策を策定します。根本原因に基づいた対策でなければ、効果的な再発防止はできません。
- 法的対応の準備
- 警察への被届け、サイバー保険の請求、取引先への説明、場合によっては訴訟など、法的対応に必要な証拠を収集・保全します。証拠能力を維持するための適切な手順が重要です。
調査の重要性
- 根本原因を特定しないと再発
- ランサムウェア被害の約30%は、同じ組織が複数回被害に遭っているという報告があります。最初の被害で根本原因を特定・修正しなかったことが主な要因です。バックアップから復旧しただけでは、攻撃者が残したバックドアや、悪用された脆弱性はそのままです。
- 法的報告に必要な情報
- 個人情報保護法や業界規制により、インシデント発生時の報告義務がある場合、調査結果に基づいた正確な報告が求められます。情報漏洩の有無、影響を受けた個人の数、流出した情報の種類などを把握する必要があります。
証拠保全の手順と注意点
フォレンジック調査の成否は、証拠保全の品質に大きく依存します。
証拠保全の原則
- Chain of Custody（証拠の連続性）
- 証拠の取得から分析、保管、廃棄までの全過程を文書化し、誰がいつ証拠にアクセスしたかを追跡可能にします。法的手続きで証拠として認められるために不可欠な原則です。
- 改ざん防止
- オリジナルの証拠データは変更せず、分析用のコピーを作成して作業します。書き込み保護装置の使用、読み取り専用マウントなどの手法でオリジナルを保護します。
- ハッシュ値の記録
- 証拠データのハッシュ値（MD5、SHA-256等）を取得時点で記録し、その後の分析でも同一のハッシュ値であることを確認することで、データが改ざんされていないことを証明します。
保全すべきデータ
- メモリダンプ
- システムのRAM内容をダンプファイルとして保存します。実行中のプロセス、ネットワーク接続、復号鍵、マルウェアのコードなど、電源を切ると失われる情報が含まれています。最優先で取得すべき揮発性データです。
- ディスクイメージ
- ハードディスク/SSDの完全なビット単位のコピーを作成します。ファイルシステム、削除されたファイル、未割り当て領域、MBR/GPTなど、すべてのデータを保全します。
- ログファイル
- Windowsイベントログ、Syslog、アプリケーションログ、セキュリティ製品のログなど、システムの動作履歴を記録したファイルを収集します。ログのローテーションや上書きで失われる前に保全が必要です。
- ネットワークトラフィック
- 可能であれば、インシデント発生時のネットワークトラフィック（pcapファイル等）を保全します。C2通信、データ窃取の証拠、横展開の痕跡などが含まれている可能性があります。
証拠保全の手順
- 揮発性データの優先取得
- 電源を切ると失われるデータ（メモリ、ネットワーク接続、実行中プロセス等）を最優先で取得します。取得順序は「Order of Volatility」に従い、最も揮発性の高いデータから順に保全します。
- ディスクイメージの取得
- メモリダンプ取得後、ディスクのビットストリームイメージを作成します。dd、FTK Imager、EnCase等のツールを使用し、書き込み保護装置を介して取得します。
- ハッシュ値の記録
- 取得したすべての証拠データのハッシュ値を計算・記録します。取得直後と分析開始時のハッシュ値が一致することを確認し、文書化します。
証拠保全チェックリスト
| 保全対象 | 優先度 | ツール例 | 注意点 |
|---|---|---|---|
| メモリダンプ | 最高 | WinPmem、DumpIt | 電源を切る前に取得 |
| 実行中プロセス | 最高 | Volatility、Rekall | メモリダンプから抽出 |
| ネットワーク接続 | 高 | netstat、TCPView | 揮発性データ |
| ディスクイメージ | 高 | FTK Imager、dd | 書き込み保護必須 |
| イベントログ | 中 | evtxecmd、LogParser | ローテーション前に取得 |
| レジストリ | 中 | RECmd | マルウェア永続化の痕跡 |
侵入経路の特定方法
フォレンジック調査の核心は、攻撃者がどのように侵入したかを特定することです。
分析すべきログ
- VPN機器のログ
- ランサムウェアの侵入経路として最も多いのがVPN経由です。認証成功・失敗ログ、接続元IPアドレス、接続時刻、使用されたアカウントなどを分析します。通常と異なるIPアドレスや時間帯からの接続に注目します。
- ファイアウォールログ
- 外部からのアクセス、内部から外部への不審な通信（C2通信）、ポートスキャンの痕跡などを分析します。許可された通信の中にも不審なものがないか確認します。
- Windowsイベントログ
- ログオン成功/失敗（4624/4625）、特権使用（4672）、サービスインストール（7045）、プロセス作成（4688）などを分析します。Active Directory保護で解説した監視項目を中心に確認します。
- メールゲートウェイログ
- フィッシング詐欺による侵入の場合、悪意あるメールの受信記録、添付ファイルの検知ログ、URLクリックの記録などを分析します。
侵入経路の推定
- 初期感染端末の特定
- 最初にランサムウェアが実行された端末（Patient Zero）を特定します。暗号化されたファイルのタイムスタンプ、マルウェアの作成日時、ログの時系列から、最も早い時点で異常が発生した端末を特定します。
- 横展開の追跡
- 初期感染端末から、どのように他の端末・サーバーに横展開したかを追跡します。ログオンイベント、リモート実行ツールの使用痕跡、SMB通信などを分析し、攻撃者の移動経路を再構築します。
- C2通信の分析
- マルウェアが外部のC2（Command and Control）サーバーと通信していた場合、通信先のIPアドレス・ドメイン、通信パターン、使用されたプロトコルを特定します。ファイアウォールログ、プロキシログ、DNSログが分析対象となります。
侵入経路パターンと調査ポイント
| 侵入経路 | 調査ポイント | 確認すべきログ |
|---|---|---|
| VPN脆弱性 | 脆弱性悪用の痕跡、異常な認証 | VPN機器ログ、認証サーバーログ |
| RDP総当たり | 多数のログオン失敗、成功 | Windowsイベントログ（4625、4624） |
| フィッシング | 悪意あるメール、添付ファイル実行 | メールログ、プロセス作成ログ |
| 公開アプリ脆弱性 | Webサーバーへの攻撃 | Webサーバーログ、WAFログ |
| サプライチェーン | 正規ソフトウェアの悪用 | ソフトウェア更新ログ、実行履歴 |
タイムライン分析の実施
タイムライン分析は、インシデントの全体像を把握するための重要な手法です。
タイムラインの構築
- 複数ログソースの時刻統合
- 異なるシステムのログを時系列で統合します。時刻のタイムゾーン、NTP同期の状況を確認し、必要に応じて時刻を補正します。数秒〜数分のずれが分析の妨げになることがあります。
- イベントの時系列整理
- ファイル作成/変更/アクセス、プロセス実行、ネットワーク接続、ログオン/ログオフなど、すべてのイベントを時系列で整理します。自動化ツール（Plaso/log2timeline等）の活用を推奨します。
- 攻撃者の行動の可視化
- 構築したタイムラインから、攻撃者の行動を時系列でストーリー化します。初期侵入→偵察→横展開→権限昇格→データ窃取→暗号化という流れを明確にします。
分析のポイント
- 最初の不審なアクティビティ
- タイムラインの中で、最初に発生した不審なアクティビティを特定します。これが初期侵入のタイミングを示しています。侵入からランサムウェア実行までの滞在期間（Dwell Time）を把握します。
- 横展開のタイミング
- 攻撃者が最初の端末から他のシステムに移動した時点を特定します。使用された認証情報、アクセスしたシステム、実行したツールを把握します。
- 暗号化開始時刻
- ランサムウェアによるファイル暗号化が開始された時刻を特定します。この時点で攻撃の最終段階に入っており、それ以前に攻撃者がどのような活動をしていたかが重要です。
タイムライン分析ツール
| ツール名 | 機能 | 用途 |
|---|---|---|
| Plaso/log2timeline | 複数ソースからのタイムライン作成 | 包括的なタイムライン構築 |
| Timeline Explorer | タイムラインの可視化・分析 | 大量イベントの効率的な分析 |
| Autopsy | ディスクイメージからのタイムライン | ファイルシステムタイムライン |
| Elastic Stack | ログの集約・検索・可視化 | 大規模ログ分析 |
ランサムウェア検体の解析
ランサムウェアの検体を分析することで、攻撃グループの特定や復号の可能性を判断できます。
静的解析
- ファイルハッシュの確認
- 検体のMD5、SHA-1、SHA-256ハッシュを計算し、既知のマルウェアデータベースと照合します。既知のランサムウェアであれば、その特性や対策情報を得られます。
- 文字列抽出
- 実行ファイル内の文字列を抽出し、ランサムノート、C2アドレス、暗号化対象の拡張子リスト、攻撃グループの識別子などを特定します。stringsコマンドやFLOSSなどのツールを使用します。
- VirusTotal等での照合
- VirusTotalやHybrid Analysisなどのサービスでハッシュを検索し、検知名、関連するIOC（Indicators of Compromise）、他の組織での検出状況を確認します。
動的解析（サンドボックス）
- 隔離環境での実行
- 仮想マシンなどの隔離環境でマルウェアを実行し、振る舞いを観察します。ANY.RUN、Joe Sandbox、Cuckoo Sandboxなどを使用します。実際のネットワークに接続しないよう注意が必要です。
- 振る舞いの観察
- ファイルの作成・変更・削除、レジストリの変更、プロセスの生成、ネットワーク通信などの振る舞いを記録します。永続化手法、暗号化対象、通信先などを特定します。
- 通信先の特定
- C2サーバーのアドレス、データ送信先、更新サーバーなど、外部との通信先を特定します。これらはIOCとして他のシステムでの検知に活用できます。
ランサムウェアファミリーの特定
- ID Ransomwareの活用
- No More Ransomプロジェクトが提供するID Ransomwareサービスで、暗号化されたファイルや身代金要求文をアップロードすると、ランサムウェアの種類を特定できます。復号ツールの有無も確認できます。
- 復号ツールの可能性確認
- 特定されたランサムウェアファミリーに対して、復号ツールが公開されているかを確認します。詳細は復号ツール活用ガイドをご参照ください。
調査報告書の作成
フォレンジック調査の結果は、適切な形式で報告書にまとめる必要があります。
報告書の構成
- エグゼクティブサマリー
- 経営層向けの要約です。インシデントの概要、被害の影響、根本原因、推奨対策を1-2ページで簡潔にまとめます。技術的詳細は省略し、ビジネスへの影響を中心に記載します。
- インシデント概要
- インシデントの発生日時、発見経緯、初動対応、調査開始日時などの基本情報を記載します。
- 調査方法
- 使用したツール、分析手法、調査範囲、調査期間などを記載します。調査の信頼性を担保するための情報です。
- 発見事項
- 調査で判明した事実を詳細に記載します。証拠に基づく事実と、推測・仮説は明確に区別します。
- タイムライン
- インシデントの時系列を表形式で整理します。初期侵入から暗号化までの流れを、日時、イベント、証拠の3列で記載します。
- 被害範囲
- 侵害されたシステム、アカウント、データの一覧を記載します。暗号化されたファイル数、窃取された可能性のあるデータなども含めます。
- 根本原因
- 侵入を許した脆弱性、設定不備、運用上の問題を特定し、記載します。可能であれば、CVE番号や具体的な設定項目を明記します。
- 推奨対策
- 再発防止のための具体的な対策を、優先度付きで記載します。短期（即座に実施）、中期（1-3ヶ月）、長期（6ヶ月以上）に分類します。
報告書作成のポイント
- 事実と推測の区別
- 証拠に基づく事実は断定的に、推測や仮説は「可能性がある」「と考えられる」などの表現で明確に区別します。証拠がない事項を断定すると、報告書全体の信頼性が損なわれます。
- 技術的な正確性
- 技術用語、IPアドレス、タイムスタンプ、ハッシュ値などは正確に記載します。誤記は信頼性を損なうだけでなく、後続の対応に支障をきたす可能性があります。
- 経営層向けのサマリー
- 技術的な詳細を理解できない読者向けに、ビジネスインパクトと対策の優先度を分かりやすくまとめます。経営判断に必要な情報を提供することが目的です。
よくある質問（FAQ）
- Q: フォレンジック調査は社内で実施すべきですか、外部に依頼すべきですか？
- A: 組織のセキュリティ体制と調査の目的により判断します。法的手続き（訴訟、保険請求等）で使用する場合は、第三者の専門業者による調査が信頼性の面で有利です。社内で実施する場合は、調査担当者の専門性、必要なツール・機材の有無、業務への影響を考慮してください。重大なインシデントでは、初動は社内で行いつつ、詳細調査は外部専門業者に依頼するハイブリッドアプローチも有効です。
- Q: 証拠保全の前にシステムを復旧してしまいました。調査は可能ですか？
- A: 限定的ですが、調査可能な場合があります。バックアップからの復旧であれば、オリジナルのディスクが残っている可能性があります。ログが外部サーバー（SIEM、クラウド等）に転送されていれば、そこから分析可能です。ただし、証拠の完全性は損なわれており、法的手続きでの使用には制限がある可能性があります。今後のインシデントに備えて、証拠保全を優先する手順を整備することを推奨します。
- Q: ランサムウェアの検体を取得しても安全に保管できるか不安です。
- A: 検体の取り扱いには細心の注意が必要です。パスワード付きZIPファイルで暗号化し、実行されないようにします（拡張子の変更も有効）。オフラインの隔離環境で保管し、本番ネットワークからアクセスできないようにします。外部の専門業者に分析を依頼する場合は、安全な方法で受け渡しを行います。不安な場合は、ハッシュ値のみを記録し、検体自体は保管しない判断も妥当です。
- Q: 調査にはどのくらいの期間がかかりますか？
- A: インシデントの規模と複雑性により大きく異なります。単一端末の感染で侵入経路が明確な場合は1-2週間程度、大規模な組織全体の侵害で複雑な横展開がある場合は1-3ヶ月以上かかることもあります。初期評価（1-3日）で全体の規模感を把握し、詳細な調査計画を立てることを推奨します。
- Q: フォレンジック調査に必要なツールの費用はどのくらいですか？
- A: 無料のオープンソースツール（Autopsy、Volatility、Plaso等）でも基本的な調査は可能です。商用ツール（EnCase、FTK等）は数十万円〜数百万円のライセンス費用がかかりますが、より効率的な分析と法的証拠としての信頼性が得られます。外部専門業者に依頼する場合、調査費用は数百万円〜数千万円規模になることがあります。
まとめ：効果的なフォレンジック調査のために
フォレンジック調査を成功させるためには、事前の準備と体制整備が重要です。
- 平時からの準備
- インシデント発生前に、証拠保全手順の整備、必要なツールの準備、外部専門業者との契約、ログの適切な保存設定などを行っておくことで、有事の際に迅速な対応が可能になります。
- 初動の重要性
- インシデント発生直後の対応が、調査の成否を左右します。証拠保全を最優先とし、慌てて再起動や復旧を行わないことが重要です。
- 継続的な改善
- 調査結果を踏まえた再発防止策の実施、インシデント対応手順の改善、教育・訓練の実施などにより、組織のセキュリティ成熟度を高めていきます。
関連記事
- ランサムウェアとは？仕組み・感染経路・対策を解説
- ランサムウェア感染時の対応手順
- 復号ツール活用ガイド
- Active Directoryをランサムウェアから守る
- SIEMでランサムウェアを検知する
- ランサムウェア被害事例と教訓
ランサムウェア総合対策ナビ
更新履歴
- 初稿公開