注意：説明画像内において、以下のような黄緑色のチェックマークで示されている項目、また、各項目・機能の説明において有料オプションであると記載されている項目は、有料のオプションパックに含まれる内容です。オプションを購入されていないお客様の環境では、オプションの設定項目は表示されません。
注意：この機能・設定は有料の「DETECTION AND RESPONSE」オプションパックに含まれる内容です
【フォレンジックデータ】
この機能では、マルウェア、ウイルス、ランサムウェアなどによる攻撃の痕跡や証拠となるデータを収集することができます。
ウイルスやマルウェア、ランサムウェアによる被害が発生した場合、「どのような不正な操作が行われたのか」「どのデータが影響を受けたのか」などを事後に調査するための証拠が必要になります。
フォレンジックデータは、このようなセキュリティインシデントの原因や被害状況を調査・解析するために使用するデジタル証拠です。
通常のバックアップだけでは、調査に必要なファイルや操作の痕跡、ディスク領域などが十分に保存されない場合があります。また、不正な活動によって証拠となるデータが削除されたり、対象のマシン自体が利用できなくなったりする可能性もあります。
［フォレンジックデータ］バックアップオプションを有効にしておくことで、通常のディスクバックアップでは取得されない情報も保存し、インシデント発生後のフォレンジック調査に活用できます。
取得できるフォレンジックデータは以下です。
- 未使用のディスク領域のスナップショット
- メモリダンプ
- 動作中のプロセスのスナップショット
フォレンジックデータが含まれているバックアップでは、自動的に公証 (データが変更されていないことを、データのハッシュツリーを外部のノータリー（公証）サービスに送信することによって保証する) が行われます。
[フォレンジックデータ] バックアップオプションは、以下のオペレーティングシステムを実行している、Windowsワークロードのマシン全体のバックアップで利用可能です。
- Windows 8.1以降
- Windows Server 2012 R2以降
下のワークロードでは、フォレンジックデータを伴うバックアップを利用できません。
- VPN経由でネットワークに接続していて、インターネットに直接アクセスすることができないワークロード
- BitLockerで暗号化されたディスクを持つワークロード
フォレンジックデータのバックアップ場所としてサポートされているのは、以下の場所となります。
- クラウドストレージ
- ローカルフォルダ
- ネットワークフォルダ
注意:
- この機能は、ARM64プロセッサで動作するWindowsワークロードではサポートされていません。
- バックアップ保護計画をマシンに適用した後、[フォレンジックデータ] の設定を後から変更することはできません。[フォレンジックデータ] オプションを利用する場合は、新規の保護計画を作成してください。
- ローカルフォルダは、バックアップ対象のワークロードに USBで接続した外付けHDDのローカルフォルダのみがサポートされています。
- ローカルダイナミックディスクは、フォレンジックバックアップを行うことができる場所としてサポートされていません。
【フォレンジックバックアップのプロセス】
フォレンジックバックアップの動作では、システムが以下の処理を実行します。
- 未処理のメモリダンプを収集し、実行中のプロセスのリストを作成します。
- ブータブルメディアを用いて、自動的にマシンを再起動します。
- 占有済みの領域と未割り当ての領域の両方を含んだバックアップを作成します。
- バックアップしたディスクの公証を行います。
- OSを再起動して、保護計画で設定された残りの作業を引き続き実行します。
【設定方法】
- バックアップ管理画面から、[デバイス] > [すべてのデバイス] に進みます。または、[計画] から保護計画を作成することも可能です。
- 設定を行いたいデバイスを選択して、[保護] をクリックします。
- 新規、もしくは未適用の保護計画で [バックアップ] モジュールを有効にします。
- [バックアップの対象] として [マシン全体] を選択します。
- [バックアップオプション] の [変更] をクリックします。
- [フォレンジックデータの収集] を有効にします。システムが自動的にメモリダンプを収集し、実行中のプロセスのスナップショットを作成します。
注意: フルメモリダンプには、パスワードなどの機密データも含まれている可能性があります。
- ロケーションを指定します。
- [今すぐ実行] をクリックして、フォレンジックデータのバックアップを今すぐ実行するか、スケジュールに沿ってバックアップが実行されるのを待ちます。
- [ダッシュボード] > [アクティビティ] から、フォレンジックデータのバックアップが正常に行われていることを確認することができます。
これによって、バックアップにフォレンジックデータが組み込まれるので、そのデータを抽出・分析することができるようになります。
【フォレンジックデータを含むバックアップアーカイブの表示方法】
フォレンジックデータが含まれているバックアップには、その旨を示すマークが付きますので、
他のバックアップと区別して表示を行うことができます。
- [バックアップストレージ] メニュー > [バックアップ] に移動します。
- フォレンジックデータを含むバックアップがあるバックアップロケーションを選択します。
- 表の右上にあるギアアイコンをクリックして、[フォレンジックデータ] を選択します。
- [フォレンジックデータ] 列が表示されます。
- フォレンジックデータの有無でバックアップアーカイブを並べ替えるには、列の名前をクリックします。
【フォレンジックデータを取得する】
- [バックアップストレージ] メニュー に進み、フォレンジックデータが含まれているバックアップがあるロケーションを選択します。
- 該当のバックアップを選択し、[バックアップの表示] をクリックします。
- 該当の復元ポイントを選択し、 [復元] をクリックします。
- フォレンジックデータのみをダウンロードまたは復元する場合は、[フォレンジックデータ] をクリックします。
フォレンジックデータを含むファイルが表示されます。
a.（ファイルをダウンロードするには）1つまたは複数のファイルを選択し、[ダウンロード] をクリックします。
b.（ファイルをリカバリするには）1つまたは複数のファイルを選択し、[復元] をクリックします。 - フォレンジックバックアップ全体を復元する場合は、[マシン全体] をクリックします。
a. 復元オプションを構成します。
b. [復元を開始] をクリックします。
c. ターゲット マシンのディスクを上書きを確認するには、[復元を開始] をクリックします。
※起動処理中にディスクに変更が加えられないようにするため、リカバリしたマシンは起動できないようになっています。
注意：
100MBを超えるファイルをダウンロードすることはできません。通常、メモリダンプファイル（raw.dmp）は100MBを超えるため、ファイルを復元したうえでコピーしてください。
メモリダンプは、サードパーティ製のフォレンジック解析ソフトウェアを使用して解析できます。たとえば、Volatility Framework（https://www.volatilityfoundation.org/）を使用して、メモリの詳細な解析を行うことができます。