ナレッジ | フォーカスシステムズサイバーフォレンジックセンター

メールでのお問い合わせ
お問い合わせはこちら
東京証券取引所 プライバシーマーク ISMS JUSE

ナレッジ

ホーム > ナレッジ > Articles > スマホのフォレンジック調査を妨げる5つの壁(1)
Articles トップへ  |  »

スマホのフォレンジック調査を妨げる5つの壁(1)

スマートフォン調査の流れと端末の特殊性

フォレンジック刑事電上電下 唯我独尊! ROMより証拠のフォレンジック。フォレンジック刑事(デカ)参上!

せんぱ~い、生きてたんですか!?フォレンジック女刑事

フォレンジック刑事いや、フォレンジック刑事のコミックの評判が良かったので上層部から再登板指令が。

ご都合主義...◯◯ジック!とか言わなくて良いんですか?フォレンジック女刑事

フォレンジック刑事私のいない間に巷にはスマートフォンに関連した犯罪が増えている...ジック!

私もスマホってまだ調査したことありません…フォレンジック女刑事

フォレンジック刑事スマートフォンの解析は今までのフォレンジックとは違いが大きい...ジック!

なんだか喋りにくそう... 早速解析していきましょう!フォレンジック女刑事

 スマートフォンの調査でもコンピューターフォレンジックと同様、

データ取得 → 検査・検証 → 解析 → 報告
という調査の基本的な流れは変わりません。


 ただ、スマートフォンではデータの取得や調査の場面においてWindowsやMacといった機器のフォレンジック調査とは異なる様々な課題や障害が存在しており、調査員を苦しめます。ここではモバイルフォレンジックを行う際に調査員が直面する可能性がある様々な課題を取り上げます。
 これらの課題や障害を乗り越えないことには、そもそもデータの取得が行えない、取得したデータ量が十分でない、解析が上手く行えない、作業遅延や誤った結論にたどり着くなどの問題が噴出することになります。

PC上でスマホを認識できない!?

 AndroidやiPhoneなどのiOSデバイスは付属のケーブルを使用してPCとUSB接続を行うことが可能です。
デジータおっと、USBと聞いちゃ黙ってられねえ! 電呼ぶ、磁呼ぶ、人が呼ぶ!
フォレンジック女刑事この声はっ!?

(彼女のためにまずこれを用意して...)フォレンジック刑事

デジータさすらいのデジタル用心棒、早解析(はやうち)のデジータ様、参上!

(USBドライバーをインストール...)フォレンジック刑事

デジータ無視かぁぁぁ!?
デジータまぁいい、デジータ様の早解析(はやうち)を見せてやらぁ。解析対象のスマホをよこせぇ
※ 解説しよう、デジータの拳銃はUSB接続を介した高速転送が可能なのだ(本編Vol.4参照
デジータしかもフォーカスの人間も使っているFTK Imagerとのコンボ。完璧だ...
デジータ...……
デジータスマホがデバイスリストに出てこない。

漢は背中で語るものだ。デジータ殿。フォレンジック刑事

フォレンジック女刑事そんな絡み方でしたっけ。この先、迷走しそうです(汗

 スマートフォンはUSBメモリなどと同じNANDフラッシュメモリが内蔵されているため、PCにUSB経由で接続したスマートフォンのデータをFTK Imagerなどのツールを使用して保全できないでしょうか?

 下図は、手元のスマートフォンを解析用Windows PCにUSBの書込防止装置を介して接続した際のデバイス一覧です。

デバイスが適切に表示されない
保全を行う対象が正しく認識出来ておらず、ご覧のとおり、接続したモバイル端末が一覧に表示されません。
スマートフォンによってはメディアプレイヤーとして認識される場合もありますが、いずれにせよFTK imagerなどのディスクイメージングツールを用いても取得対象デバイスとしては認識されないため、コンピューターフォレンジックの手法を流用しても、適切なデータ取得を行うことが出来ません。

デバイスが認識されない原因

 スマートフォンをPCから適切に認識するためには、端末に応じた専用のUSBドライバーが必要です。
メーカーによっては自社製のスマートフォンは全て共通のUSBドライバーを流用出来る場合もありますが、端末ごとにそれぞれ異なるドライバーが存在し、互いに互換性がない場合もあります。適切なUSBドライバーがインストールされていないPCでは、スマートフォンを接続してもそれだけでは認識できず、保全作業を妨げる要因となります。
 また、例えばiOSであればiTunes、Android端末であればADB(Android Debug Bridge)など、USB経由で通信し、様々な命令を実行するためのツールも併せて必要になります。 スマートフォンによってはUSBメモリやHDDと同様、接続時に自動的に必要なドライバーをインストールしてくれるものも増えてきていますが、まだまだ調査員がUSBデバッグのためにドライバーを用意しなければならない端末が多い印象です。

 調査の前にまずドライバーをインストールすることからはじめましょう。
フォレンジック刑事スマートフォンをPCで表示させるまでに手こずることが多いのは調査員の常識ジック!

先輩、適当にジックつければ良いと思ってます? 中の人変わりました?フォレンジック女刑事

フォレンジック刑事スマートフォンはHDDのように簡単に中を見せるわけにはいかんジック!

プライバシーに配慮したセキュリティの高さが解析の障害になるフォー…フォーカス君

iOSデバイス用のドライバーは、iTunesのインストール時に自動的にインストールされます。また、Androidデバイスでは以下のサイトから主要メーカーのドライバーを入手可能です。
https://developer.android.com/studio/run/oem-usb.html#Drivers
OEM USBドライバーのインストール
 PC・スマホ間でデータの同期をとるためのソフトウェアがある場合(SamsungのKiesなど)はドライバーも同梱されている場合があります。ドライバーのインストールは、exeファイルをダブルクリックしてインストールするのが一般的ですが、デバイスマネージャーから個別にドライバーの更新を行う必要があるものも存在します。

フォレンジックツールを使えば…

 とはいえ、デバイスごとに調査の度にドライバーをインストールするのは煩雑なため、いくつかのフォレンジックツールでは予め主要なドライバーを内包していたり、補助的にドライバーの入手先(URL)を表示する機能を持ったものがあります。
フォーカス君スマホのドライバー収集は調査員泣かせ。ツールで少しでも楽をするのがお勧めフォー…
ドライバーインストール後、接続前にAndroid端末の開発者向けオプションから、USBデバッグの設定をONにします。iPhoneでは特に事前の設定変更は必要ありません。

USBデバッグの有効化

 スマートフォン本体のロックを解除した状態で解析PCと接続し、接続先を信頼するよう設定するとデータ取得の準備が整います。 当社では主に、Magnet AXIOMMobilyze CFC Editionという保全ツールを使用してスマートフォンの保全を行っています。

Magnet Acquireの操作画面
Magnet AXIOMなどにも搭載されているAcquireの操作画面】

USBドライバーの取得
【ネットから対応ドライバーを自動検索。ネット接続が制限される調査PC向けにリンク先も表示】

Mobilyzeの操作画面
【Andoroid/iOSデバイスの解析に対応したBlackBag社製 Mobilyzeの操作画面】
 Mobilyzeではインストールの際に基本的なドライバーのインストールを併せて行うため、標準的なスマートフォンであればすぐに認識することが出来ます。このようにモバイルフォレンジック用のツールを使用することで、より効率的にデータ取得の準備を行うことが可能になります。

スマホに保存されたデータを取得する

ドライバーをインストールし、スマートフォンがPCから適切に認識されると、データの閲覧や取得が可能になります。

iPhone/Androidの表示
【データ保全用ツール上で認識されたAndoroid端末とiPhone】

SDカードに保存されたデータ
【Android端末のSDカードに保存された情報】

フォレンジック女刑事せんぱ~い、ドライバーをインストールしたら、スマホの中身もちゃんと表示されました!

やったな。だが今確認している情報はスマホデータの一部に過ぎないジック!フォレンジック刑事

 ただ、これらのデータはスマートフォンに保存されたデータの一部である点に注意が必要です。DCIMフォルダ内には写真データがあり、連絡先をバックアップしたデータも見つけることができましたが、ブラウザの閲覧履歴が見当たりません。SMSなどのメールの情報はどこにあるのでしょうか?
 スマートフォンにはシステムが使用している領域とユーザー領域が区別されていることが多く、端末の所有者であってもシステムが使用する領域のデータはこのままでは確認することができません。この点に関しては次回以降、折を見て触れていきたいと思います。

次回予告

 データ取得を行う上で障害になる、スマートフォンの認識の問題について見てきました。
次回はスマートフォンのデータ取得までに必要な端末の設定変更や電波遮断について見ていきます。
(次回更新は5月1日の予定です。)

デジータよっしゃー、次こそ俺様の解析テクが火を噴くぜぇぇぇ!

(もう少し取得でつまずくな、これは )フォレンジック刑事