社内不正に特化したデジタルフォレンジック | デジタルフォレンジックＰＲＯ

持ち出し先・元端末に残る対象ファイル／操作痕跡（実ファイル、フォルダ構造、LNK、Jump Lists、ShellBags、RecentDocs、Office MRU、OpenSavePidlMRU、$MFT、$UsnJrnl、$LogFile）
Endpoint DLPのファイル操作ログ（FileCopiedToRemovableMedia、FileCopiedToNetworkShare、FilePrinted、FileUploadedToCloud、PasteToBrowser）、Microsoft Purview統合監査ログ（FileAccessed、FileDownloaded、FileCopied、FileMoved、FileDeleted、SharingSet、MailItemsAccessed）、Google Workspace監査ログ（Drive Log Events、Gmail Log Events、Admin Log Events、Login Log Events、OAuth Log Events）、EDR端末タイムライン（Microsoft Defender Timeline、CrowdStrike ProcessRollup2、SentinelOne Deep Visibility、ファイル・通信・USBイベント）、メール本文・添付・完全ヘッダー（EML、MSG、MIME、Message-ID、Received、Return-Path、DKIM-Signature、添付ファイル）、メールサーバー追跡ログ（Exchange Message Trace、Transport Logs、SMTP Logs、Google Email Log Search）、Teams・Slack・Google Chatのメッセージ／添付（Teams Chat、Slack Messages、Google Chat Events、投稿、削除履歴、添付ファイル）、ファイルサーバー・NAS監査ログ（Windowsイベント5140・5145・4663、SMBログ、Synology Log Center、QNAP QuLog）、クラウドストレージ監査ログ（OneDrive Audit、SharePoint Audit、Dropbox Activity、Box User Activity、Google Drive Events）、クラウドファイルの版履歴（SharePoint Version History、OneDrive Version History、Google Drive Revisions、Dropbox Version History）、共有権限・外部共有の変更履歴（SharingSet、AnonymousLinkCreated、AddedToSecureLink、ExternalSharing、PermissionChanged）、IDプロバイダーのサインインログ（Entra ID Sign-in Logs、Okta System Log、Google Login Audit、ADFSログ）、DLP・CASBアラート（Microsoft Purview DLP Alerts、Defender for Cloud Apps、Netskope Events、Skyhigh Security Alerts）、ソースコード管理の監査ログ（GitHub Audit Log、GitLab Audit Events、Bitbucket Audit Log、git clone、repository download）、データベース監査・トランザクションログ（SQL Server Audit、Oracle Unified Audit Trail、MySQL General Log、PostgreSQL WAL、binlog）、ERP・会計・経費精算システムの監査証跡（仕訳変更履歴、承認ログ、振込先マスタ変更、SAP Change Documents、操作ユーザー履歴）、CRMの監査・エクスポート履歴（Salesforce Event Monitoring、Setup Audit Trail、Data Export、Dynamics 365 Audit History）、勤怠・入退室・PC認証ログ（打刻履歴、ICカード履歴、Windows 4624・4634、VPNログ、Wi-Fi認証ログ）、印刷サーバー監査ログ（PrintService Operational、イベント307、SPL、SHD、プリントジョブ履歴）、プロキシ・Secure Web Gatewayログ（URL、POST、Upload、Content-Length、User-Agent、Zscaler Web Logs、Squid access.log）、VPN・ZTNA接続ログ（FortiGate VPN、Cisco AnyConnect、GlobalProtect、OpenVPN、Zscaler ZPA、接続元IP）、Firewall・NDR・NetFlow・PCAP（Firewall Traffic Log、NetFlow、IPFIX、Zeek Logs、Suricata EVE、Packet Capture）、DNSログ（Windows DNS Analytical Log、BIND query.log、Cisco Umbrella Logs、Zeek dns.log）、SaaS管理者監査ログ（Admin Audit Log、RoleChanged、AuditDisabled、RetentionChanged、ForwardingRuleCreated）、Windowsファイルアクセス監査（イベント4663、4656、4660、4658）、Windowsリムーバブル記憶域監査（Removable Storage、イベント4663、Audit Removable Storage）、Sysmonイベントログ（イベント1・3・7・11・13・15・22・23・26）、NTFSマスターファイルテーブル（$MFT）、NTFS変更ジャーナル（$UsnJrnl:$J、$UsnJrnl:$Max）、NTFSトランザクションログ（$LogFile）、Windowsイベントログ（Security.evtx、System.evtx、Application.evtx、Microsoft-Windows-各種Operational.evtx）、Windowsログオン・ログオフイベント（4624、4625、4634、4647、4648、4672）、Windowsプロセス生成イベント（4688、4689、コマンドライン監査）、Windows共有アクセスイベント（5140、5142、5143、5144、5145）、Windows外部デバイス認識イベント（6416、20001、20003、2101、2102）、Microsoft Defender Device Controlログ（DeviceControlEvents、PnPDeviceConnected、RemovableStoragePolicyTriggered）、USBSTORレジストリ（SYSTEM\CurrentControlSet\Enum\USBSTOR）、MountedDevicesレジストリ（SYSTEM\MountedDevices、DosDevices、Volume GUID）、Portable Devices・WPDBUSENUM（WPD、MTP、Windows Portable Devices、スマートフォン接続履歴）、SetupAPIデバイス導入ログ（setupapi.dev.log、setupapi.app.log）、DeviceClasses・DeviceContainersレジストリ（Enum\USB、Enum\SWD、DeviceClasses、DeviceContainers）、LNKショートカットファイル（Recentフォルダ、Target Path、Volume Serial Number、MAC Time、NetBIOS名）、Jump Lists（AutomaticDestinations-ms、CustomDestinations-ms、DestList、AppID）、ShellBags（BagMRU、Bags、NTUSER.DAT、UsrClass.dat）、RecentDocsレジストリ（RecentDocs、MRUListEx、拡張子別MRU）、Office MRU・File MRU（Word、Excel、PowerPoint、Place MRU、File MRU）、OpenSavePidlMRU（ComDlg32\OpenSavePidlMRU）、LastVisitedPidlMRU（ComDlg32\LastVisitedPidlMRU）、TypedPaths・TypedURLs（Explorer\TypedPaths、Internet Explorer\TypedURLs）、Prefetch（.pf、実行回数、最終実行時刻、参照ファイル一覧）、Amcache（Amcache.hve、InventoryApplication、InventoryApplicationFile、FileId、SHA-1）、Shimcache・AppCompatCache（SYSTEM\AppCompatCache、実行ファイルパス、更新時刻）、UserAssist（NTUSER.DAT\UserAssist、ROT13、Run Count、Focus Time）、BAM・DAM（SYSTEM\Services\bam、SYSTEM\Services\dam、ユーザーSID別実行履歴）、SRUM（SRUDB.dat、Application Resource Usage、Network Connectivity、Network Data Usage）、Chrome・Edge閲覧履歴（History、urls、visits、visit_source、keyword_search_terms）、Chrome・Edgeダウンロード履歴（History、downloads、downloads_url_chains、target_path、tab_url）、Chrome・Edge認証・セッション痕跡（Cookies、Login Data、Sessions、Local Storage、Session Storage）、Chrome・Edgeキャッシュ（Cache、Code Cache、GPUCache、Service Worker CacheStorage）、Chrome・Edge入力履歴（Web Data、autofill、keywords、token_service、search terms）、ブラウザー拡張機能（Extensions、Preferences、Secure Preferences、manifest.json、Extension State）、Firefox閲覧履歴（places.sqlite、moz_places、moz_historyvisits、moz_bookmarks、favicons.sqlite）、Firefox認証・セッション痕跡（cookies.sqlite、logins.json、key4.db、sessionstore.jsonlz4）、Internet Explorer・旧Edge履歴（WebCacheV01.dat、Containers、History、Cookies、IEDownload）、Outlookオフラインデータ（OST、メール本文、添付、予定表、削除済みアイテム）、Outlook個人用データ（PST、Archive PST、エクスポート済みメール、添付ファイル）、Outlook宛先履歴（Autocomplete Stream、RoamCache、Stream_Autocomplete、NK2）、Thunderbird・Windows Mailデータ（MBOX、MSF、global-messages-db.sqlite、MailStore、IndexedDB）、Microsoft Teamsローカル痕跡（IndexedDB、Local Storage、Cache、Code Cache、Logs、Cookies）、Slackローカル痕跡（IndexedDB、Local Storage、Cache、Cookies、Slack Logs、downloads）、OneDrive同期痕跡（SyncDiagnostics.log、Business1、SyncEngine Database、ClientPolicy.ini、OneDrive logs）、Google Drive for desktop同期痕跡（DriveFS、metadata_sqlite_db、mirror_sqlite_db、logs、content_cache）、Dropbox同期痕跡（Dropbox.dbx、config.dbx、sync_history、host.db、instance_db）、Box Drive同期痕跡（Box Drive Logs、Box Cache、sync database、item database）、rclone設定・転送ログ（rclone.conf、–log-file、remote、copy、sync、crypt）、WinSCP・FileZilla転送履歴（WinSCP.ini、Registry Sessions、FileZilla recentservers.xml、sitemanager.xml）、PowerShellコマンド履歴（ConsoleHost_history.txt、PSReadLine、Get-History）、PowerShell実行ログ（PowerShell Operational 4103・4104、Windows PowerShell 400・403・600）、WMI操作ログ（WMI-Activity Operational 5857・5858・5859・5860・5861）、タスクスケジューラ（TaskScheduler Operational 106・140・200・201、System32\Tasks、Task XML）、Windowsサービス登録痕跡（SYSTEM\CurrentControlSet\Services、イベント7045・7036・7040）、RDP接続痕跡（TerminalServicesログ、イベント1149・21・24・25・1024・1102、Default.rdp、MRU）、遠隔操作ソフトのログ（AnyDesk ad.trace、TeamViewer Connections_incoming.txt、UltraViewer Logs、RustDesk Logs）、ごみ箱（$Recycle.Bin、$Iファイル、$Rファイル、元パス、削除時刻）、ボリュームシャドウコピー（VSS、System Volume Information、Previous Versions、復元ポイント）、ページファイル（pagefile.sys、swapfile.sys）、休止状態ファイル（hiberfil.sys）、メモリ・クラッシュダンプ（RAM Dump、MEMORY.DMP、MiniDump、WER Dump）、未割当領域・ファイルスラック（Unallocated Space、File Slack、Volume Slack、削除ファイル）、Windows Search Index（Windows.edb、SystemIndex、Gather Logs、Property Store）、サムネイルキャッシュ（thumbcache_.db、iconcache_.db、Thumbs.db）、クリップボード痕跡（Clipboard History、CloudClipboard、ActivitiesCache.db、ClipboardUserService）、印刷スプーラーファイル（SPL、SHD、PRINTERSフォルダ、PrintServiceログ）、Office自動保存・一時ファイル（AutoRecover、UnsavedFiles、~$一時ファイル、.asd、.wbk、.tmp）、圧縮・展開痕跡（ZIP、RAR、7z、WinRAR history、7-Zip History、Temp展開フォルダ）、NTFS代替データストリーム（Zone.Identifier、ADS、Mark of the Web、HostUrl、ReferrerUrl）、ウイルス対策・EDR検知履歴（Windows Defender Protection History、MpLog、Quarantine、EDR Alert Evidence）、iOS・Androidフォレンジックアーティファクト（SMS.db、CallHistory.storedata、KnowledgeC.db、usage_stats、notification_log、アプリSQLite、MDM監査ログ）