Entry № 056
アンチフォレンジック
アンチフォレンジック とは何ですか?
アンチフォレンジック攻撃者やプライバシーを重視する者がデジタルフォレンジック調査を妨害・遅延・無効化するために用いる手法の総称。
アンチフォレンジックは、デジタル証拠を隠蔽・破壊・改竄して事象再構築を阻む意図的な行為全般を指します。代表的な手法はセキュアな削除とディスクワイプ、フルディスク暗号化、ログクリア(wevtutil cl、journalctl のローテーション)、タイムスタンプ改竄(timestomping、$MFT の MACB 時間操作)、痕跡難読化(Process Hollowing、メモリ上実行)、ファイルレス攻撃、ステガノグラフィ、ログ注入、使い捨て仮想マシンの利用などです。LOLBins により痕跡はさらに減少します。対応側はメモリフォレンジック、揮発データ取得、SIEM への冗長転送、WORM ストレージ、複数情報源での裏付け(NIST SP 800-86 準拠)で対抗します。
● 例
- 01
侵入者が wevtutil で Windows イベントログを消去し、ログオン痕跡を抹消する。
- 02
ドロップしたツールの $MFT タイムスタンプを正規システムファイルに合わせる timestomping。
● よくある質問
アンチフォレンジック とは何ですか?
攻撃者やプライバシーを重視する者がデジタルフォレンジック調査を妨害・遅延・無効化するために用いる手法の総称。 サイバーセキュリティの フォレンジックと IR カテゴリに属します。
アンチフォレンジック とはどういう意味ですか?
攻撃者やプライバシーを重視する者がデジタルフォレンジック調査を妨害・遅延・無効化するために用いる手法の総称。
アンチフォレンジック からどのように防御しますか?
アンチフォレンジック に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。
アンチフォレンジック の別名は何ですか?
一般的な別名: カウンタフォレンジック, 証拠の破壊。