サイバー攻撃と防御の実務
インシデントの調査で、ディスクの複製などの証拠を、後で訴訟や警察への届け出にも使えるように扱いたい。証拠の保管の連続性(チェーン・オブ・カストディ)の考え方に沿った扱いとして、最も適切なものはどれか。
- A調査を早く進めるため、元のディスクを直接開いて調べ、気づいたことは記録せずに担当者が覚えておく
- B複製を作ったら元のディスクは不要になるので、すぐに初期化して、別の業務の端末で再利用して費用を抑える
- C元のディスクは書き込みを防ぐ装置を通して複製し、ハッシュ値と、誰がいつ受け取り何をしたかを記録する
答えと解説を見る
正解：C. 元のディスクは書き込みを防ぐ装置を通して複製し、ハッシュ値と、誰がいつ受け取り何をしたかを記録する
証拠が裁判などで信頼されるには、集めてから提出するまでの間に、改ざんやすり替えがなかったことを示す必要があります。そのため、元の媒体には書き込みを防ぐ装置(ライトブロッカ)を通して触れ、ビット単位の複製を作り、元と複製のハッシュ値(SHA-256など)が一致することを記録します。調べるのは複製のほうで、元の媒体は封をして保管し、受け渡しのたびに日時、担当者、目的を記録します。この記録が途切れると、証拠の信頼性が疑われる原因になります。
- A. 元の媒体を直接調べると内容が変わるおそれがあり、記録がないと何をしたかを示せません。
- B. 元の媒体は、複製が正しいことを後で確かめるためにも保管しておきます。
- C. 正しい。改ざんがないことをハッシュ値で示し、受け渡しの記録を途切れさせないことが要点です。