Azureにおけるコンピューターフォレンジクスの管理チェーン

Azure Automation

Azure Key Vault

Azure Storage アカウント

この記事では、法的要求に応じて有効な保管チェーンを示すデジタル証拠をチームが提供できるように設計されたインフラストラクチャとワークフローのプロセスについて説明します。この記事では、証拠の取得、保存、アクセスの各段階で有効な保管チェーンを維持する方法について説明します。

注

この記事は、著者の理論的および実践的な知識に基づいています。法的な目的で使用する前に、その適用性を法務部門と検証してください。

アーキテクチャ

アーキテクチャ設計は、Azureのクラウド導入フレームワークのAzureランディングゾーンの原則に従っています。

このシナリオでは、次の図に示すハブアンドスポークネットワークトポロジを使用します。

このアーキテクチャのVisio ファイルをダウンロードします。

Workflow

アーキテクチャでは、運用仮想マシン (VM) はスポーク Azure仮想ネットワークの一部です。 VM ディスクは、プラットフォームマネージドキーを使用して、ホストでの暗号化によって暗号化されます。詳細については、「マネージドディスク暗号化オプションの概要を参照してください。

注

このアーキテクチャでは、プラットフォームマネージドキーを使用したホストでの暗号化を前提としています。

ホストでの暗号化が要件を満たしていない場合は、os レベルの暗号化ソリューション (Windows の BitLocker や Linux 上の dm-crypt など) を使用できます。これらの暗号化の実装は、各環境に固有であり、この記事では説明しません。要件を評価して、適切なアプローチを決定します。

セキュリティオペレーションセンター (SOC) チームは、個別の Azure SOC サブスクリプションを使用します。このチームは、保護、不可侵、監視を維持する必要があるリソースを含むサブスクリプションに排他的にアクセスできます。 SOC サブスクリプションの Azure Storage アカウントは、不変 BLOB ストレージ内のディスクスナップショットのコピーをホストします。専用のキーコンテナーには、スナップショットのハッシュ値のコピーが格納されます。

VM のデジタル証拠をキャプチャする要求に応じて、SOC チームのメンバーは Azure SOC サブスクリプションにサインインし、Azure Automation から Azure hybrid Runbook worker VM を使用して、Copy-VmDigitalEvidence Runbook を実行します。 Automation Hybrid Runbook Worker では、キャプチャに含まれるすべてのメカニズムを制御できます。

Copy-VmDigitalEvidence Runbook は、次のマクロ手順を実装します。

Automation アカウントのシステム割り当てマネージド ID を使用して、Azureにサインインします。この ID は、ターゲット VM のリソースと、ソリューションに必要な他のAzure サービスへのアクセスを許可します。
VM のオペレーティングシステム (OS) ディスクとデータディスクのディスクスナップショットを生成します。
SOC サブスクリプションの不変 BLOB ストレージと一時ファイル共有の両方にスナップショットを転送します。
ファイル共有に格納されているコピーを使用して、スナップショットのハッシュ値を計算します。
取得したハッシュ値を SOC キーコンテナーに格納します。
変更できない BLOB ストレージ内のコピーを除き、スナップショットのすべてのコピーを削除します。

コンポーネント

Azure Automation は、Runbook とスクリプトを使用して運用タスクを自動化するクラウドベースのサービスです。このアーキテクチャでは、 Copy-VmDigitalEvidence Runbook を実行して VM ディスクのスナップショットを作成し、VM ディスクを安全に転送することで、証拠キャプチャプロセスを調整します。このプロセスは、証拠の整合性を確保するのに役立ちます。
Azure Storage は、オブジェクト、ファイル、ディスク、キュー、テーブルストレージなど、さまざまなデータ型に対応するスケーラブルなクラウドストレージソリューションです。このアーキテクチャでは、変更できない BLOB コンテナーに VM ディスクスナップショットを格納し、改ざん防止形式でデジタル証拠を保持します。
Azure Blob Storage は、非構造化データ用に最適化されたオブジェクトストレージを提供するクラウドベースのソリューションです。このアーキテクチャでは、デジタル証拠の整合性と否認を保証するために、VM ディスクの不変スナップショットを保持します。
Azure Files は、業界標準のサーバーメッセージブロック (SMB) プロトコル、ネットワークファイルシステム (NFS) プロトコル、および Azure Files REST API を介してアクセスできる共有ファイルシステムを提供するフルマネージドクラウドファイルストレージサービスです。 Windows、Linux、macOS のクラウドまたはオンプレミスのデプロイを通じて、共有を同時にマウントできます。 Azure File Syncを使用してWindows Serverのファイル共有をキャッシュして、データの使用場所の近くにすばやくアクセスすることもできます。このアーキテクチャでは、Azure Filesは、変更できないストレージに転送する前に、ハッシュ値を計算するためにディスクスナップショットを一時的に格納します。
Key Vault は、シークレット、暗号化キー、証明書を管理するためのセキュリティで保護されたクラウドサービスです。このアーキテクチャでは、ディスクスナップショットのハッシュ値を格納して、デジタル証拠の整合性を検証します。
Microsoft Entra ID は、Azureやその他のクラウドアプリへのアクセスを制御するのに役立つクラウドベースの ID サービスです。このアーキテクチャでは、承認された SOC 担当者のみが機密性の高い証拠処理操作にアクセスして管理できるようにします。
Azure Monitor は、メトリック、ログ、アラートを通じて監視を提供する監視サービスです。リソースのパフォーマンスと可用性を最大限に高め、潜在的な問題を事前に特定することで、大規模な運用をサポートします。このアーキテクチャでは、アクティビティログをアーカイブして、保管の証拠チェーンの監査、コンプライアンス、監視をサポートします。

Automation

SOC チームは、Automation アカウントを使用して、Copy-VmDigitalEvidence Runbook を作成および管理します。また、チームは Automation を使用して、Runbook を実装するハイブリッド Runbook worker を作成します。

ハイブリッドランブックワーカー

Hybrid Runbook worker VM は Automation アカウントに統合されます。 SOC チームは、この VM を排他的に使用して、Copy-VmDigitalEvidence Runbook を実行します。

ハイブリッド runbook worker VM は、ストレージアカウントにアクセスできるサブネットに配置する必要があります。 Hybrid Runbook worker VM サブネットをストレージアカウントのファイアウォール許可リスト規則に追加して、ストレージアカウントへのアクセスを構成します。

メンテナンスアクティビティのために、この VM へのアクセス権を SOC チームメンバーにのみ付与します。

VM が使用する仮想ネットワークを分離するには、仮想ネットワークをハブに接続しないようにします。

Hybrid Runbook worker は、Automation システム割り当てマネージド ID を使用して、ターゲット VM のリソースと、ソリューションに必要なその他のAzure サービスにアクセスします。

システムに割り当てられたマネージド ID に必要な Azure ロールベースのアクセス制御 (Azure RBAC) の最小アクセス許可は、次の 2 つのカテゴリに分けられています。

ソリューションコアコンポーネントを含む SOC Azure アーキテクチャへのアクセス許可
ターゲット VM リソースを含むターゲットアーキテクチャへのアクセス許可

SOC Azure アーキテクチャへのアクセスには、次のロールが含まれます。

SOC 不変ストレージアカウントのストレージアカウント共同作成者
SOCキー・ボールト上のハッシュ値管理のためのKey Vaultシークレットオフィサー

ターゲットアーキテクチャへのアクセスには、ターゲット VM のリソースグループに対する 共同作成者 ロールが含まれます。このロールは、VM ディスクのスナップショット権限を提供します。

ストレージアカウント

SOC サブスクリプションのStorage アカウントは、Azureの不変BLOBストレージとしてlegal holdポリシーが設定されたコンテナー内でディスクスナップショットをホストします。不変な BLOB ストレージは、ビジネスに不可欠なデータオブジェクトを、一度だけ書き込み、何度も読み取る (WORM) 状態で保存します。 WORM 状態では、指定された間隔にわたってデータを消去不可および編集不可にします。

セキュリティで保護された転送を有効にし、ストレージファイアウォールのプロパティをしてください。ファイアウォールは SOC 仮想ネットワークからのアクセスのみを許可します。

ストレージアカウントは、スナップショットのハッシュ値の計算に使用される一時リポジトリとしてAzureファイル共有もホストします。

Key Vault

SOC サブスクリプションには、Key Vault の独自のインスタンスがあります。このインスタンスには、キャプチャ操作中に Hybrid Runbook worker が計算するディスクスナップショットのハッシュ値が格納されます。

キーコンテナーでファイアウォールが有効になっていることを確認します。 SOC 仮想ネットワークからのみアクセス権を付与する必要があります。

Log Analytics

Log Analytics ワークスペースには、SOC サブスクリプション上のすべての関連イベントを監査するために使用されるアクティビティログが格納されます。 Log Analyticsは、Monitorの機能です。

シナリオの詳細

デジタルフォレンジクスは、犯罪調査や民事訴訟を支援するためにデジタルデータの復旧と調査に取り組む科学です。コンピューターフォレンジクスは、コンピューター、VM、デジタルストレージメディアからデータを取り込んで分析するデジタルフォレンジクスの 1 つの分野です。

企業は、法的要求に応じて提供するデジタル証拠が、証拠の取得、保存、アクセスの段階を通じて有効な保管チェーンを示していることを保証する必要があります。

考えられるユースケース

企業の SOC チームは、この技術ソリューションを実装して、デジタル証拠の有効な保管チェーンをサポートできます。
調査担当者は、この手法を使用して取得したディスクコピーを、フォレンジック分析専用のコンピューターにアタッチできます。元のソース VM の電源を入れたり、アクセスしたりすることなく、ディスクコピーをアタッチできます。

証拠保全の規制遵守

提案されたソリューションを規制コンプライアンスの検証プロセスに提出する必要がある場合は、カストディソリューションの検証プロセス中に、考慮事項セクションの資料を検討してください。

注

検証プロセスに法務部門を含める必要があります。

考慮事項

これらの考慮事項は、Azure Well-Architected Framework の柱を実装します。これは、ワークロードの品質を向上させるために使用できる一連の基本原則です。詳細については、「 Well-Architected Framework」を参照してください。

このセクションでは、このソリューションを一連の親権として検証する原則について説明します。有効な保管チェーンを確保するために、デジタル証拠ストレージは、適切なアクセス制御、データの保護と整合性、監視とアラート、ログ記録と監査を実証する必要があります。

セキュリティ

セキュリティは、意図的な攻撃や貴重なデータとシステムの誤用に対する保証を提供します。詳細については、セキュリティ設計レビューのチェックリストを参照してください。

セキュリティ標準と規制のコンプライアンス

一連のカストディソリューションを検証する場合、評価する要件の 1 つは、セキュリティ標準と規制への準拠です。

architectureに含まれるすべてのコンポーネントは、信頼、セキュリティ、準拠をサポートする基盤上に構築された標準サービスAzure。

Azureには、国や地域に合わせた認定、医療、政府、金融、教育などの主要な業界向けの認定など、幅広いコンプライアンス認定があります。

このソリューションで使用されるサービスの標準準拠を詳細に示す更新された監査レポートの詳細については、「Service Trust Portal」を参照してください。

Cohasset のAzure Storageコンプライアンス評価では、次の要件について詳しく説明します。

証券取引委員会（SEC）は、17 CFR § 240.17a-4(f) において取引所会員、ブローカー、またはディーラーを規制します。
金融取引業規制機構 (FINRA) 規則 4511(c)。SEC 規則 17a-4(f) の形式とメディア要件に従います。
商品先物取引を規制している、規制 17 CFR § 1.31(c)-(d) に基づく商品先物取引委員会（CFTC）。

Cohasset の意見では、Azure Storage は Blob Storage のイミュータブルストレージ機能とポリシーロックオプションを使用して、時間ベースの BLOB (または records) を非消去かつ非書換可能な形式で保持し、SEC 規則 17a-4(f)、FINRA 規則 4511(c)、および CFTC 規則 1.31(c)-(d) の原則に基づく要件に関連するストレージの要件を満たしています。

最小特権

SOC チームのロールが割り当てられると、SOC チームのカストディアンと呼ばれるチームの 2 人の個人のみが、サブスクリプションとそのデータの Azure RBAC 構成を変更する権限を持つ必要があります。他のユーザーには、作業を実行するために必要なデータサブセットへの最小限のアクセス権のみを付与します。

最小アクセス

SOCサブスクリプション内の仮想ネットワークのみが、SOC ストレージアカウントと、証拠をアーカイブするキーコンテナーにアクセスできます。承認された SOC チームメンバーは、調査担当者に SOC ストレージ内の証拠への一時的なアクセスを許可できます。

OS ディスクの要件

フォレンジックキャプチャの対象となる運用 VM では、永続的なマネージド OS ディスクを使用する必要があります。デジタル証拠の収集が必要な VM では、エフェメラル OS ディスクを使用しないでください。エフェメラル OS ディスクはローカル VM ホストにのみ格納され、ディスクスナップショットはサポートされません。スナップショットベースの証拠キャプチャワークフローは、OS ディスクとデータディスクのポイントインタイムスナップショットを作成および転送する機能に依存するため、エフェメラル OS ディスクは、この一連のカストディプロセスと互換性がありません。

証拠の獲得

監査ログAzure、VM ディスクスナップショットを作成するアクションを記録することで、証拠の取得を文書化できます。ログには、スナップショットの取得者やスナップショットの取得時期などの詳細が含まれます。

証拠の整合性

Automation を使用して、証拠を最終的なアーカイブ先に移動します。人間の介入は必要ありません。このアプローチは、証拠成果物が変更されていないことを保証するのに役立ちます。

宛先ストレージにリーガルホールドポリシーを適用すると、証拠は書き込みと同時に即座に凍結されます。訴訟ホールドは、親権の連鎖がAzure内で完全に維持されていることを示しています。また、ディスクイメージがライブ VM 上にある時点から、証拠としてストレージアカウントに格納された時点まで、証拠を改ざんする機会がないことを示します。

最後に、提供されたソリューションを整合性メカニズムとして使用して、ディスクイメージのハッシュ値を計算できます。サポートされているハッシュアルゴリズムは、MD5、SHA256、SKEIN、KECCAK (または SHA3) です。

証拠の運用

調査担当者は、分析を実行できるように証拠にアクセスする必要があります。このアクセスは追跡され、明示的に承認されている必要があります。

調査担当者に、証拠にアクセスするための Shared Access Signature (SAS) uniform resource identifier (URI) ストレージキーを提供します。 SAS URI は、作成時に関連するログ情報を生成できます。 SAS が使用されるたびに証拠のコピーを取得できます。

たとえば、法務チームが保存された仮想ハードドライブを転送する必要がある場合、2 つの SOC チームカストディアンの 1 人が、8 時間後に期限切れになる読み取り専用の SAS URI キーを生成します。 SAS は、指定された期間内に調査担当者へのアクセスを制限します。

SOC チームは、アクセスを必要とする調査担当者の IP アドレスをストレージファイアウォールの許可リストに明示的に配置する必要があります。

地域ストア

コンプライアンスのために、一部の標準または規制では、同じAzureリージョンで証拠とサポートインフラストラクチャを維持する必要があります。

証拠をアーカイブするストレージアカウントを含むすべてのソリューションコンポーネントは、調査対象のシステムと同じAzure リージョンでホストされます。

コストの最適化

コストの最適化では、不要な経費を削減し、運用効率を向上させる方法に重点を置いています。詳細については、「コスト最適化の設計レビューチェックリスト」を参照してください。

このアーキテクチャには、固定コストコンポーネントと変動コストコンポーネントが混在しています。固定コストコンポーネントは、調査の頻度に関係なく、継続的に実行されます。可変コストコンポーネントは、フォレンジックキャプチャの量とサイズに応じてスケーリングされます。

固定コストコンポーネント

次のコンポーネントでは、証拠キャプチャを実行するかどうかに関係なく、継続的なコストが発生します。

ハイブリッドランブックワーカーVM： このVMは、オンデマンドで証拠をキャプチャできるように、SOCサブスクリプションで常に実行されています。 VM サイズはプライマリコストレバーです。証拠のキャプチャは、ハッシュ計算を除いてコンピューティング集中型ではありません。そのため、Standard_D2s_v5などの小規模な汎用 VM を使用します。この VM のコストを削減するには、Azure予約または節約プランを 1 年契約または 3 年間契約することを検討してください。
Azure Automation account: Runbook をホストし、ハイブリッドワーカー構成を持つ Automation アカウントには小さな基本費用がかかります。
Key Vault: SOC key vaultは、ハッシュ値をシークレットとして格納します。シークレット操作あたりのコストは名目上であり、このワークロードの全体的なKey Vaultコストは最小限です。

変動コストコンポーネント

次のコンポーネントは、調査の数とキャプチャされた証拠のサイズに応じてスケーリングされます。

Azure Storage (不変 BLOB ストレージ): Storage は、このアーキテクチャの主な変動コストです。各フォレンジックキャプチャでは、ターゲット VM の OS ディスクとデータディスクの完全なディスクスナップショットが生成されます。これは、VM あたり数十から数百 GB の範囲です。訴訟ホールドポリシーが適用されているスナップショットを削除できないため、ストレージコストは累積されます。スナップショットのサイズは、調査のたびに増加し、各 VM 内のディスクの数とサイズによって増加します。ストレージコストを管理するには、保持されているスナップショットのアクセス層を評価します。初期ハッシュ検証後にアクセスされることの少ないスナップショットは、クール層またはコールド層のメリットを得ることができ、アクセスコストの増加と引き換えにストレージレートが低くなります。
Azure Files: ハッシュ値を計算する一時ファイル共有では、スナップショットデータが存在する期間だけコストが発生します。 Runbook では、ハッシュ計算後にこのデータが削除されるため、コストは一時的であり、スナップショットサイズに比例します。
Log Analytics workspace: Log Analytics のインジェストコストは、SOC サブスクリプションで実行する操作の数に伴って増加します。より頻繁に証拠がキャプチャされ、よりアクティブな監視により、より多くのログデータが生成されます。コンプライアンス要件に合わせてデータ保持ポリシーを構成し、不要なデータ保持を回避します。

コスト見積もり

ワークロードに対するこのアーキテクチャのコストを見積もる場合は、Azure料金計算ツールで構成済みの見積もりを使用します。予想される調査ボリュームと VM ディスクサイズに合わせて値を調整します。見積もりには、次のコンポーネントが含まれます。

ハイブリッド Runbook worker 用の 1 つの汎用 VM (Standard_D2s_v5)
不変の証拠スナップショット向け Azure Blob Storage (Standard, Hot, LRS)
ハッシュ計算中の一時ストレージ用 Azure Files (Standard, 従量課金制)
ハッシュ値ストレージのKey Vault (Standard)
Runbook を実行するためのAzure Automation (プロセスオートメーション)
ログの取り込みと保持のための Azure Monitor (Log Analytics)

オペレーショナルエクセレンス

オペレーショナルエクセレンスは、アプリケーションをデプロイし、運用環境で実行し続ける運用プロセスを対象としています。詳細については、「オペレーショナルエクセレンスの設計レビューチェックリスト」を参照してください。

監視とアラート

Azureは、サブスクリプションとリソースに関連する異常を監視およびアラートするために、すべての顧客にサービスを提供します。これらのサービスには、次のようなものがあります。

注

この記事では、これらのサービスの構成については説明しません。

このシナリオを展開します

このシナリオをラボ環境に構築し、デプロイするには、カストディチェーンのラボ展開手順に従ってください。

ラボ環境は、この記事で説明するアーキテクチャの簡略化されたバージョンを表します。同じサブスクリプション内に 2 つのリソースグループをデプロイします。最初のリソースグループはデジタル証拠を収容する運用環境をシミュレートし、2 つ目のリソースグループは SOC 環境を保持します。

[デプロイを Azure に選択して、運用環境に SOC リソースグループのみをデプロイします。

注

ソリューションを運用環境にデプロイする場合は、Automation アカウントのシステム割り当てマネージド ID に、ターゲット VM の運用リソースグループの共同作成者アクセス許可があることを確認します。共同作成者ロールはスナップショットを作成します。

拡張構成

ハイブリッド runbook worker は、オンプレミスまたは異なるクラウド環境にデプロイできます。

このシナリオでは、Copy‑VmDigitalEvidence Runbook をカスタマイズして、さまざまなターゲット環境で証拠のキャプチャを有効にし、それらをストレージにアーカイブする必要があります。

注

このシナリオのデプロイセクションで提供されている Runbookは、Azureでのみ開発され、テストされています。他のプラットフォームにソリューションを拡張するには、それらのプラットフォームで機能するように Runbook をカスタマイズする必要があります。 Key Vault ファイアウォールを有効にする場合は、Hybrid Runbook worker VM のパブリック IP アドレスを許可します。

貢献者

Microsoftはこの記事を保持します。次の共同作成者がこの記事を書きました。

主要著者:

Fabio Masciotra |プリンシパルコンサルタント
シモーネサヴィ | シニアコンサルタント

パブリックでないLinkedIn プロファイルを表示するには、LinkedIn.

次のステップ

Azureデータ保護機能の詳細については、以下を参照してください。

Azureログ機能と監査機能の詳細については、以下を参照してください。

Microsoft Azureコンプライアンスの詳細については、以下を参照してください。

セキュリティアーキテクチャの設計

フィードバック

このページはお役に立ちましたか?