フォレンジックとは
フォレンジック（デジタルフォレンジック、デジタル鑑識）とは、コンピュータやスマートフォンなどの電子機器に対して、サイバー攻撃や不正アクセス、データ改ざんなどの事件が発生した際、その原因究明や法的な証拠保全のために行われる調査・分析技術のことです。
通常のやり方でデータを調べようとすると、意図せずファイルの更新日時が変わるなど、証拠としての価値が損なわれてしまうことがあります。フォレンジックでは、特殊なツールを用いてデータを壊さないように複製し、削除されたファイルの復元や、詳細なログ分析を行うことで、不正行為の裏付けとなる証拠を正確に抽出します。これは裁判などでの法的証拠としても極めて重要な役割を持ちます。そのため、専門知識を持った調査会社や警察の専門部署などが主に対応します。近年では、企業のインシデント対応において原因究明と再発防止策の策定のためにフォレンジック調査を実施することが一般化しています。
具体例
1. 証拠保全: 電子機器のハードディスクから「複製データ」を完全にコピーする
2. 分析: 複製データを用いて、削除されたアクセスログや感染履歴を復元・解析するもう少し詳しく
デジタルフォレンジックを正しく行うためには、証拠の証拠能力（裁判で認められる適法性と信頼性）を失わせないための厳格なプロセスが必要です。このプロセスにおいて最も重要なのが「保全」の段階です。もし、調査対象のパソコンの電源を入れたり、通常のOS上でファイルを検索したりすると、それだけでシステムファイル（レジストリやタイムスタンプなど）が書き換えられ、「調査過程で書き換えられたものではないか」と疑われ、法的な証拠能力を失ってしまいます。そのため、専用の書き込み防止装置（ライトブロッカー）を装着し、ハードディスクの全セクタをビット単位で完全にコピー（イメージング）します。この際、元データとコピーデータが同一であることを数学的に証明するため、ハッシュ値（SHA-256など）を算出して記録します。解析作業は、このコピーデータに対してのみ行われます。さらに、揮発性データ（電源を切ると消えてしまうメモリ上のデータやネットワーク接続状態など）を優先的に収集する「ライブフォレンジック」技術も、近年の標的型攻撃やランサムウェアの分析において必須となっています。
試験でのポイント
試験問題では、フォレンジックの目的（インシデントの原因究明、法的証拠の確保）と手順に関する技術的な知識が問われます。特に「ハードディスクの複製を作る際に、データの改ざんを防ぐためのライトブロッカー（書込み防止装置）を使用する」ことや、「ハッシュ値を用いてオリジナルのデータと同一であることを証明する（完全性の保証）」というポイントが頻出します。また、電源を切るとデータが消失する「揮発性情報（メモリ内のログ、実行中のプロセスなど）」と「不揮発性情報（ハードディスクのファイル）」の収集順序についての理解（揮発性の高いものから先に収集する）も出題されやすいので整理しておきましょう。
関連する用語
関連用語としては、データの改ざんがないことを証明するために用いる「ハッシュ値」、インシデント発生直後の緊急のログやメモリ情報を収集する「ライブフォレンジック」、そして企業における事故対応チーム「CSIRT」などがあります。