サーバー・ネットワークフォレンジック

サーバー・ネットワークフォレンジックでは何を調べる？

サーバー・ネットワークフォレンジックでは、ファイルサーバーへのアクセス、Wi-Fi接続、RDP、遠隔操作ソフトなどに残るログや痕跡を確認し、過去にどの端末・アカウントからどのような接続や操作が行われた可能性があるのかを調べます。

社内不正や情報持ち出しでは、対象PCだけではなく、ファイルサーバー、Active Directory、VPN、Wi-Fi、Firewall、Proxy、RDPなどネットワーク側に重要な記録が残っている場合があります。

ただし、「アカウントAからアクセスがあった」「PCが特定のWi-Fiへ接続した」「RDP接続が記録された」という事実だけで、実際に操作した人物や不正目的まで確定できるとは限りません。

端末、アカウント、接続元、対象ファイル、日時、前後の操作などを複数の証拠から照合します。

調べたい内容から記事を探す

• ファイルサーバー・共有フォルダのアクセス履歴を調べる
• WindowsのWi-Fi接続履歴を調べる
• AnyDesk・TeamViewerなど遠隔操作の痕跡を調べる
• RDP・リモートデスクトップの接続履歴を調べる

ファイルサーバー・共有フォルダのアクセス履歴を調べる

Windowsファイルサーバーや共有フォルダでは、監査設定が有効で必要なログが残っていれば、使用されたアカウント、接続元、共有名、対象ファイル・フォルダ、アクセス日時などを確認できる場合があります。

Windows Serverでは、Securityログの5140、5145、4663などが調査対象になることがあります。

ただし、イベントによって記録される意味は異なります。「共有へ接続した」「特定のファイルへのアクセスが試みられた」「アクセス権が使用された」といった事実を分けて評価する必要があります。

また、ログが残っていることだけで、ファイルを閲覧した、コピーした、社外へ持ち出したといった一連の行為すべてを自動的に証明できるわけではありません。

ファイルサーバーのアクセスログを調査｜共有フォルダの閲覧・変更・削除履歴

WindowsのWi-Fi接続履歴を調べる

Windowsでは、WLAN-AutoConfigのイベントログ、保存済みWi-Fiプロファイル、NetworkList、ワイヤレスネットワークレポートなどから、過去のWi-Fi利用に関する痕跡を確認できる場合があります。

SSID、接続・切断に関する時刻、ネットワークプロファイルなどが調査対象になります。

ただし、「Wi-Fiプロファイルが保存されていること」と「特定日時に実際に接続したこと」は同じではありません。

また、PCがあるWi-Fiへ接続したことが確認できても、それだけで特定人物がその場所にいたことや、インターネット上で特定の操作を行ったことまでは確定できません。

WindowsのWi-Fi接続履歴を確認｜SSID・接続日時に残るログ

RDP・リモートデスクトップの接続履歴を調べる

Windowsのリモートデスクトップでは、SecurityログやTerminalServices関連ログ、接続元PC側に残るRDPクライアント履歴などから、接続に関する痕跡を確認できる場合があります。

接続元・接続先、アカウント、接続・切断に関係する時刻などを複数のログから整理します。

ただし、RDPセッションが存在したことと、そのセッション内で特定ファイルを操作したことは別です。

必要に応じて、同じ時間帯のファイル操作、アプリ実行、PowerShell、ブラウザ、USBなどの記録も照合します。

RDPの接続履歴を確認｜リモートデスクトップのログと証拠

AnyDesk・TeamViewerなどの遠隔操作を調べる

AnyDeskやTeamViewerなどの遠隔操作ソフトでは、製品や設定、バージョン、ログの保存状況に応じて、接続やセッションに関する情報が残っている場合があります。

また、Windows側にもアプリ実行、ファイルシステム、イベントログ、ネットワーク利用などの痕跡が残ることがあります。

そのため、遠隔操作ソフトのログだけで判断するのではなく、Windows側の証拠と時系列で照合します。

遠隔操作ソフトがインストールされていたという事実だけで、第三者から実際に不正操作されたことまで確定することはできません。

PCが遠隔操作されたか確認する方法｜AnyDesk・TeamViewerの履歴と痕跡

サーバー・ネットワーク調査で確認する主な証拠

• Windows Server Securityイベントログ
• 共有フォルダ・ファイルアクセス監査
• SMB関連ログ
• Windowsログオン・認証記録
• WLAN-AutoConfig
• Wi-Fiプロファイル・NetworkList
• RDP・TerminalServices関連ログ
• AnyDesk・TeamViewer等のアプリケーションログ
• VPN接続ログ
• Firewall・Proxyログ
• DNS・DHCP関連ログ
• EDR・端末管理ログ
• 対象PCのファイル操作・アプリ実行記録

実際に何を確認できるかは、事前の監査設定、ログ容量、保持期間、製品、ネットワーク構成などによって異なります。

「アカウント」「端末」「人物」を分けて考える

サーバーやネットワークログでは、ユーザー名、端末名、IPアドレスなどが記録される場合があります。

しかし、アカウントが記録されていることと、必ず本人が操作したことは同じではありません。

共有アカウント、共用PC、保存済み認証情報、遠隔操作、認証情報の漏洩などが存在する場合があるためです。

人物まで評価する場合は、PCの割当情報、Windowsログオン、入退室、勤怠、ファイル操作、認証ログ等も照合します。

IPアドレスだけで人物や場所を断定しない

ログに接続元IPアドレスが記録されている場合でも、それだけで利用者や物理的な場所を確定できるとは限りません。

NAT、VPN、Proxy、DHCP、モバイル回線、共有ネットワークなどが存在するためです。

企業ネットワークでは、対象時刻のDHCP、VPN、Wi-Fi、認証、端末管理などの記録と組み合わせることで、接続状況をより具体的に確認できる場合があります。

ログの保持期間を早い段階で確認する

サーバー・ネットワーク調査では、ログの保持期間が重要です。

Windowsイベントログは容量に達すると古い記録が上書きされる場合があり、ネットワーク機器やVPN、Wi-Fi等のログにもそれぞれ保存期間があります。

不正や情報持ち出しが疑われる場合は、調査対象期間のログがまだ残っているかを早い段階で確認し、必要な記録を保全します。

「ログがない＝操作がなかった」とは限らない

目的のイベントが見つからない場合でも、その操作が行われなかったと直ちに判断することはできません。

監査が有効になっていなかった、ログが上書きされた、別の端末や接続方法が使われた、対象期間が保存範囲外だったなどの可能性があります。

そのため、サーバー側で確認できない場合は、PC、EDR、クラウド、メール、ネットワーク機器など別の証拠源も確認します。

PC側とサーバー・ネットワーク側の証拠を照合する

例えば、ファイルサーバー側で特定アカウントによるアクセスが記録されていた場合、対象PC側のWindowsログオン、LNK・Jump Lists、MFT・USN、アプリ実行などを確認します。

RDPや遠隔操作が疑われる場合も、接続記録だけでなく、その時間帯に対象PC上で何が行われたのかを確認します。

サーバー側とPC側の独立した記録が、同じ時刻、アカウント、対象ファイル等を示しているかを確認することで、操作の流れをより具体的に整理できます。

調査前にログや端末を不用意に変更しない

証拠として使用する可能性がある場合は、対象PCを初期化したり、イベントログを消去したり、サーバーの監査設定を変更したりする前に、現在の状態と必要なデータを保全します。

ログ取得時には、対象機器、取得日時、対象期間、タイムゾーン、取得方法なども記録しておくことが重要です。

不正アクセス等が現在も継続している場合は被害停止を優先する必要がありますが、その場合も、設定変更や遮断を行った日時・内容を記録します。

サーバー・ネットワークフォレンジックでは時系列の照合が重要

最終的には、サーバー、ネットワーク、対象PC、認証、ファイル操作などの記録を一つの時間軸へ整理します。

例えば、RDP接続が開始された直後に重要ファイルへのアクセスがあり、その後に圧縮ファイル作成や外部通信が確認された場合、それぞれの記録が何を示しているのかを分けて評価します。

重要なのは、一つのログから結論を出すのではなく、確認できた事実と推定、確認できない部分を区別することです。