被害の拡大を食い止めながら、
客観的な証拠を確実に保全します。
復旧作業を急ぐと証拠データが消滅し、証拠保全を優先しすぎると被害が拡大します。CyberCrewのDFIR（フォレンジック調査・インシデント対応）は、この二律背反を高度な専門技術で解決します。
DFIR
DIGITAL FORENSICS & INCIDENT RESPONSE
ランサムウェア、不正アクセス、情報漏えいが発生した直後には、被害拡大の防止と、後から対外説明できる証拠保全の両立が求められます。CyberCrewのエンジニアチームが、初動トリアージから証拠保全、フォレンジック調査、封じ込め、復旧支援、報告書作成まで一貫して伴走します。
復旧作業を急ぐと証拠データが消滅し、証拠保全を優先しすぎると被害が拡大します。CyberCrewのDFIR（フォレンジック調査・インシデント対応）は、この二律背反を高度な専門技術で解決します。
個人情報保護法に基づく監督官庁への報告義務や、取引先・ステークホルダーへの説明責任を果たすためには、推測ではなく客観的証拠に基づいた事実確定が不可欠です。初動段階で適切なフォレンジック調査を実施することにより、二次被害を防ぎ、法的責任や社会的信用の失墜を最小限に抑えられます。
断片的な情報から侵害の有無と緊急度を判断し、最初に止めるべき操作を整理します。
揮発性の高いメモリから順に、ハッシュ値と作業記録を残しながら証跡を保全します。
VPN・公開サーバ・メール・持ち込み端末など、最初の侵入点を特定します。
横展開の痕跡とIOCを全体にスイープし、影響を受けた端末・アカウントを洗い出します。
検出された実行ファイルやスクリプトを解析し、挙動・通信先・永続化を明らかにします。
通信ログとアクセス痕跡から、情報が外部へ送信された可能性を客観的に評価します。
ネットワーク隔離、アカウント無効化、バックドアの除去、安全な復旧手順を支援します。
経営・監督官庁・取引先に説明できる報告書と、優先順位付きの再発防止策を提示します。
WHAT WE DETERMINE
「ウイルスを駆除しました」という作業報告だけでは、インシデント対応は完了しません。以下の5項目を客観的証拠に基づいて確定させることで、安全な業務再開と再発防止の判断が可能になります。
事象の種類によって、保全すべき証拠データとフォレンジック調査のアプローチが変わります。発生しているトラブルの状況をそのままお知らせください。
ファイル暗号化、二重脅迫、リークサイトへの掲載。暗号化より前に行われた侵入・持ち出しの痕跡まで調査します。
VPN・公開サーバへの侵入、認証情報の悪用、公開システムの不正操作経路を特定します。
顧客情報・個人情報・機密情報の外部送信やダウンロードの痕跡と、その範囲を正確に評価します。
メールアカウントの侵害、転送ルールの不正設定、請求書・振込先の差し替え被害を調査します。
公開サーバに設置されたバックドア、改ざんコンテンツ、不正なリダイレクトの痕跡を解析します。
長期滞留、正規ツールの悪用（LOLBins）、痕跡消去を伴う高度かつ継続的な侵害を追跡します。
Microsoft 365・Google Workspace・IaaSへの不正サインイン、権限・設定の改変を監査ログから解析します。
退職者・委託先による持ち出し、USB・クラウドストレージ・メール経由のファイル送信履歴を保全調査します。
ログの取得可否と保持期間は、フォレンジック調査の精度に直接影響します。
| Endpoint | Windows PC / Windows Server / Linux Server / macOS（個別確認） |
|---|---|
| Identity | Active Directory / Entra ID / 各種Identity Provider |
| Network | Firewall / VPN / Proxy / IDS・IPS / DNSログ |
| Cloud / SaaS | Microsoft 365 / Google Workspace / 主要IaaS・PaaSの監査ログ |
| Application | Webサーバ、業務アプリケーション、データベースのアクセスログ |
確証がない段階でも問題ありません。「侵害されていない事実の確認」も正式な調査目的となります。
国際標準規格であるNIST SP 800-61およびSANSの対応フレームワークに準拠して進めます。緊急度が高い場合は、封じ込め処置を優先して実施します。
発生事象、影響範囲、業務状況をヒアリングし、緊急度と「最初に止めるべき操作」を指示します。
揮発性の高い情報から順に保全し、ハッシュ値と作業記録（Chain of Custody）を残します。
ディスク・メモリ・ログ・クラウド監査ログを解析し、攻撃の時系列を再構成します。
侵入経路の遮断、端末隔離、アカウント無効化など、被害拡大を止める処置を合意のうえ支援します。
永続化・バックドアの除去、安全な再構築とリストア手順、復旧後の監視を支援します。
調査結果を報告書にまとめ、経営陣や監督官庁に説明できる恒久対策を提示します。
単一のログだけでは攻撃の全体像は捉えられません。ディスク、メモリ、ネットワーク、クラウドの痕跡を突き合わせ、1つの時系列として再構成します。
ストレージのアーティファクトから、プログラム実行痕跡・ファイル作成日時・改変の有無を復元します。
電源が入っている間にしか取得できない揮発性情報を保全し、高度な攻撃の痕跡を解析します。
機器や認証基盤に残るログから、外部からの侵入経路と内部での横展開（ラテラルムーブメント）を追跡します。
クラウド環境の監査ログから、アカウント侵害と設定改変、データへの不正アクセスを特定します。
復旧を急ぐあまり誤った操作を行うと、後から確認できる事実が永久に失われます。まずは「やってはいけない操作」をご確認いただき、そのまま専門窓口へご連絡ください。
メモリ上の証跡（実行中プロセス、通信先、復号鍵、暗号化前の平文データ）が完全に消え、調査の精度が大幅に低下します。
侵入経路や侵害範囲を証明する痕跡がすべて消え、外部機関への説明責任を果たせなくなります。
攻撃の全体像を解き明かす唯一の手がかりであるマルウェア検体そのものを失うことになります。
組織内の他の端末へ横展開が進み、被害規模が加速度的に拡大します。
攻撃者に接触した痕跡が残り、交渉を有利に進められるリスクや追加感染のリスクが生じます。
漏えい通知の義務や取引先への報告義務がある場合、不完全な調査は法的な過失とみなされる恐れがあります。
裁判や外部監査に提出できる証拠能力を保つため、国際標準規格に則った手順で保全を実施します。
調査の確度を高めるため、可能な限り広範な証拠データを速やかに確保します。
端末の隔離や通信遮断などの封じ込め処置は、業務停止などの影響を伴います。CyberCrewは、各処置の目的・影響範囲・代替策を客観的に提示し、お客様が事業継続と安全のバランスを取った最善の決断を下せるようサポートします。
技術的な事実認定にとどまらず、法的な説明責任を果たせる客観的証拠に基づいた報告書を提供します。
技術報告書の納品にとどまらず、関係各所への説明や対外公表の場まで一貫してサポートします。
すでにインシデントが発生している緊急のスポット対応から、網羅的なフォレンジック調査、有事に即応するための事前契約まで対応します。
デジタルフォレンジック調査の費用は、調査目的（侵害有無の早期確認か、訴訟や対外公表を見据えた全容解明か）、対象機器の台数、データ容量、緊急度によって変動します。
CyberCrewでは、影響範囲の特定を優先する「ファストフォレンジック」から、ディスク全体を深掘りする「ディープフォレンジック」まで、お客様のご予算と状況に合わせて最適な調査プランをご提案します。
初動ヒアリングと概算のお見積りは無料です。状況が悪化する前に、お早めにご相談ください。
緊急時は情報が揃っていなくても問題ありません。現時点で判明している事実のみをお伝えください。
フォームまたは緊急窓口へご連絡ください。
専門エンジニアが事象と緊急度を確認します。
保全対象、調査範囲、概算費用を確定します。
現地またはリモートで証拠保全を開始します。
正式報告書の提出と報告会を実施します。
発生中のインシデントは、緊急専用フォームより優先して受け付けています。「何をすればいいかわからない」段階でもお早めにご連絡ください。
緊急対応を相談する →ご相談時にお客様から多くいただく疑問について、回答をまとめています。
技術的な限界や制約事項を事前に明示し、誠実に調査を実施します。完全なデータ復元を保証するものではありません。
事象発生から時間が経過している場合、OSやネットワーク機器のログが上書きされ、追跡が困難になるケースがあります。
本サービスは技術的な調査・分析および復旧支援を提供するものであり、以下の業務は対象外となります。
INCIDENT RESPONSE
すでに攻撃を受けていますか？
不正アクセス・情報漏えい・ランサムウェア。
発生中のインシデントは緊急窓口へ。
EMERGENCY & PREPAREDNESS
初動が遅れれば、ログは上書きされ、証拠データは消えていきます。
「何が起きているか分からない」状態でも、まずはお気軽にご相談ください。