揮発性情報.pptVIP

? Hideaki Ihara(Port139). 揮発性情報 2003/05/25伊原 秀明(Port139) 揮発性情報とは 時間の経過と共に失われる情報（消えやすく復元が難しい） 電源断により失われる情報 システムが稼働中にのみ取得可能な情報 操作により変化する情報（タイムスタンプ,削除ファイルなど） 状態情報（通信状態など） 揮発性の順序 RFC 3227 『証拠収集とアーカイビングのためのガイドライン』 にて定義されているhttp://www.ipa.go.jp/security/rfc/RFC3227JA.html 揮発性情報の確認 揮発性情報は、時間の経過と共に変化する,まずは保全し内容確認は後から行うこと 揮発性情報は、操作の影響を受けやすいので不要な操作は行わないこと 揮発性情報の多くは、システムへログオンして確認する必要がある（ログオン時にはトラップの存在を考慮） 揮発性情報の保全(1) 揮発性の順序に従い、揮発性が高い、重要な情報から迅速に保全する 揮発性情報へ影響を与える操作はしないこと（影響を考慮し,事前に手順を決めておく） 手順を誤ると、必要な情報が得られない可能性がある 例）ネットワークケーブルを抜いてからIPCONFIGコマンドを実行しても意味が無い 揮発性情報の保全(2) 揮発性情報を取得するコマンドは安全性を確認したものを利用すること例：CD-ROMに焼いたプログラム コマンドを手動で入力すると、時間の経過やミスを引き起こす可能性がある（引数不足など） なるべく自動的に取得できるようにしておく（あまり複雑なスクリプトにしないこと） 揮発性情報の保存先 取得した情報は専用の領域へ保存削除されたファイルやデータが失われることがないように、専用領域へ保存する ローカルに保存領域が確保できない場合にはネットワーク経由で出力する（Netcatを利用） 揮発性情報の必要性？ 揮発性情報は時間の経過により変化するため保全作業が行われた時点で必要な情報が取得できる可能性は低い 揮発性情報の取得操作が、より重要な証拠となるデータを消す可能性もある コマンド例 Windows環境における代表的な揮発性情報を確認?保存するためのコマンド（赤字部分） 必要に応じてコマンドの追加?変更を 実行するコマンドの影響を考慮すること プログラムは安全なものを利用すること これらのコマンド結果が、常に証拠となる情報を含むわけではない ARPテーブルの保存 ARPテーブルの表示コマンドarp –aInterface: 0 --- 0x4Internet Address Physical Address Type 00-90-cc-4a-87-0c dynamic 10 00-d0-b7-8f-12-7d dynamic DNSキャッシュの保存 DNSキャッシュ情報の表示 ipconfig /displaydns Windows IP Configuration 27. ---------------------------------------- Record Name . . . . . : 27.. Record Type . . . . . : 12 Time To Live . . . . : 567799 Data Length . . . . . : 4 Section . . . . . . . : Answer PTR Record . . . . . : localhost ネットワーク情報の保存 TCP/IP接続情報netstat –an※XP以降では-oオプションも指定※ ルーティングテーブルの表示netstat –rまたはroute print プロトコル統計情報の表示netstat -s NetBIOS over TCP/IP情報の保存 NBT‘s キャッシュの表示nbtstat –c セッションテーブルの表示nbtstat –s, nbtstat –S(小文字はコンピュータ名,大文字はIPアドレス) ローカルNetBIOS名の確認nbtstat -n NET コマンド情報の保存 セッションの一覧表示net session 開かれているファイルの一覧表示net file 統計情報net statistics servernet statistics workstation 共有の一覧表示net sha