アンチフォレンジック（Anti-Forensics） · 図解IT事典

定義

デジタル証拠の確保・分析を妨げるために、データを隠蔽・改変・破壊し、フォレンジック調査の実効性を低下させる手法

主な手法

元の記録Aの接続

暗号文内容を隠蔽

手段:暗号化・ステガノグラフィー影響:内容の確認や情報の発見を困難にする

ファイル一覧記録あり

ファイル削除残存は未確認

手段:ファイル・ログの削除、ワイピング影響:証拠の確保や復元を困難にする

作成時刻14:10

改変後の時刻09:00

手段:タイムスタンプ改変・虚偽の記録影響:事件の時刻や経緯を誤認させるおそれ

解析対象デジタル資料

エラーのおそれ解析を妨害

手段:解析ツールの弱点を悪用影響:解析失敗や結果の歪曲のおそれ

原本保全

解析用コピー作成・解析

原本とコピーのハッシュ照合・取扱履歴の記録

隠蔽・残存資料

バックアップ

確保できる証拠を抽出

隠し領域・残存データ・バックアップを確認

PCの記録

独立保管の記録

時刻基準を合わせて比較

記録の欠落・時計の誤差・改変の可能性を区別

解析用コピー

ツールA

ツールB

結果を比較

同じ証拠を解析した二つの結果の違いを検討

復号・復元の限界:鍵の有無やデータの保存・削除方法によって異なる。検証の限界:収集後のハッシュや解析結果が一致するだけでは、収集前に改変がなかったとは断定できない。