クラウドフォレンジック

クラウドフォレンジックでは何を調べる？

クラウドフォレンジックでは、Microsoft 365やGoogle Workspaceなどのクラウドサービスに残る監査ログ、ファイル操作、共有、ダウンロード、メール、チャット、サインインなどの記録を確認し、過去にどのような操作が行われた可能性があるのかを調査します。

社内不正や情報持ち出しでは、PCだけを解析しても全体像を確認できない場合があります。OneDrive・SharePoint・Google Driveなどでは、ファイル本体や操作記録がクラウド側に存在するため、PC側の証拠とクラウド側の記録を時系列で照合することが重要です。

ただし、監査ログに操作が記録されていることと、実際の操作者、操作の目的、情報持ち出しの成立は別の問題です。一つのログだけで結論を出さず、対象PC、ファイル、メール、USB、認証記録などを組み合わせて確認します。

Microsoft 365の監査ログを調べる

Microsoft 365では、ライセンス、監査設定、保持期間、管理者権限などの条件に応じて、OneDrive・SharePoint・Exchange・Teams・Entra IDなどの操作記録を確認できる場合があります。

Microsoft Purview Auditでは、ファイルへのアクセス、ダウンロード、共有、削除、メール関連操作、Teamsの操作など、複数サービスの監査イベントを検索できます。

一方、監査ログだけでファイルの内容、PC上の保存先、USBへのコピー、実際に操作した人物まで確認できるとは限りません。

Microsoft 365の監査ログで何が分かる？Purview・Exchange等の調査方法

SharePoint・OneDriveのダウンロード履歴を調べる

SharePointやOneDriveでは、必要な監査ログが残っていれば、ファイルへのアクセス、ダウンロード、同期、共有、削除などに関するイベントを確認できる場合があります。

ただし、通常のWebダウンロードとOneDrive同期クライアントによる取得は区別して確認する必要があります。

また、ダウンロードイベントが記録されていても、それだけで会社情報を不正に持ち出したことまで確定するわけではありません。対象ファイル、職務上の必要性、操作時刻、対象PCへの保存、圧縮、USB・メール等への移動まで確認します。

SharePointのダウンロード履歴・監査ログを調べる方法

Google Workspace・Google Driveを調べる

Google Workspaceでは、契約エディション、管理者権限、設定、ログの保存状況などに応じて、Google Driveの閲覧・ダウンロード・共有・削除、Gmail、ログインなどの記録を確認できる場合があります。

調査では、Google Workspace側の監査記録だけでなく、対象PC、ブラウザ、Google Drive for desktop、メール、USBなどの証拠を照合します。

例えばGoogle Driveからファイルがダウンロードされた記録があっても、その後どこへ保存され、外部媒体や個人メール等へ移動したのかは別途確認する必要があります。

Google Workspaceのフォレンジック調査｜Drive・Gmail・PCの証拠を確認

Teamsのチャット・削除・編集履歴を調べる

Teamsでは、削除・編集されたメッセージについても、組織の保持設定やMicrosoft Purview eDiscoveryなどの条件によっては、後から内容を確認できる場合があります。

ただし、Teamsの監査ログにすべてのチャット本文が保存されているわけではありません。チャット、チャネル、ファイル、会議などは、それぞれ保存先や確認方法が異なります。

Teamsでファイルが共有された疑いがある場合は、チャット本文だけでなく、OneDriveやSharePoint上のファイル、共有権限、アクセス、ダウンロードも確認します。

Teamsのチャット履歴・削除・編集メッセージを調べる方法

クラウドフォレンジックで確認する主な証拠

• Microsoft Purview Audit
• Microsoft Purview eDiscovery
• SharePoint・OneDriveのファイル操作記録
• Exchange Onlineの監査ログ・Message Trace
• Teamsのチャット・ファイル・監査記録
• Entra IDのサインインログ
• Google Workspaceの監査ログ
• Google Driveのファイル操作・共有記録
• Gmailの記録
• 対象PCのブラウザ・同期フォルダ・ファイル操作

確認できるデータは、サービス、契約プラン、監査設定、保持期間、管理者権限などによって異なります。「クラウドを契約しているから過去の操作がすべて残っている」とは限りません。

監査ログの保持期間を最初に確認する

クラウド調査では、ログがいつまで保存されているかが重要です。

サービスやライセンスによって保持期間が異なり、時間の経過によって調査対象期間の記録が検索できなくなる場合があります。

不正や情報持ち出しの疑いが生じた場合は、対象アカウントを削除したり設定を変更したりする前に、必要な監査ログやデータを保全できるか確認します。

ログを書き出す際は、対象期間、対象アカウント、検索条件、タイムゾーン、取得日時なども記録しておくことが重要です。

「共有」「アクセス」「ダウンロード」は分けて考える

クラウド調査では、「共有した」という一つの表現だけで事実をまとめないことが重要です。

例えば、共有リンクを作成したこと、外部ユーザーへ権限を付与したこと、相手がリンクへアクセスしたこと、実際にファイルをダウンロードしたことは、それぞれ別の事実です。

監査ログがどの段階を示しているのかを確認し、証拠が示していない事実まで推測で補わないようにします。

アカウントの操作記録と実際の人物は同じとは限らない

監査ログに特定のユーザーアカウントが記録されていても、必ずしもその本人が操作したと確定できるわけではありません。

共有端末、保存済みセッション、アカウント共有、認証情報の漏洩、遠隔操作などが考えられるためです。

必要に応じて、Entra IDやGoogleの認証記録、IPアドレス、端末情報、対象PCの利用記録などを照合します。

クラウド側とPC側の証拠を照合する

クラウドフォレンジックでは、クラウド側の監査ログだけで調査を完結させないことが重要です。

例えば、SharePointからファイルのダウンロードが記録されていた場合は、対象PCのブラウザ履歴、ダウンロード先、MFT・USN、LNK・Jump Lists、圧縮ファイル、USB接続履歴などを確認します。

クラウド側の記録とPC側の記録が同じ時刻・対象ファイル・アカウントを示しているかを確認することで、操作の流れをより具体的に整理できます。

調査前にアカウントやデータを削除しない

退職者や不正が疑われる社員のアカウントをすぐに削除すると、メール、ファイル、監査ログ、共有設定などの確認に影響する場合があります。

まず現在のアカウント状態、ライセンス、保持設定、対象データ、監査ログの保存状況を確認し、必要なデータを保全してから停止・削除等の処理を検討します。

ただし、不正アクセスやアカウント乗っ取りなど被害が現在も続いている場合は、被害停止を優先する必要があります。その場合も、実施した時刻や設定変更の内容を記録します。

クラウドフォレンジックは複数の証拠を時系列で整理する

最終的には、クラウド側の監査ログ、対象ファイル、PC、メール、認証ログなどを同じ時間軸へ整理します。

例えば、退職前に大量のファイルへアクセスし、その後ダウンロードが記録され、PC上でZIPファイルが作成され、さらにUSB接続や外部送信に関する記録が確認された場合、それぞれの証拠がどの操作を示しているかを分けて評価します。

重要なのは、一つのログから結論を出すことではなく、「何が確認できたか」「何までは確認できないか」を明確にしたうえで証拠を組み合わせることです。