Windows・PCフォレンジック

Windows・PCフォレンジックでは何を調べる？

Windows・PCフォレンジックでは、会社PCや退職者PCなどに残されたファイル操作、USB接続、削除、Web閲覧、アプリ実行、ログオン、印刷などの記録を保全・解析し、過去にどのような操作が行われた可能性があるのかを確認します。

Windowsには、利用者が保存したファイルだけでなく、ファイルシステム、レジストリ、イベントログ、LNK、Jump Lists、Prefetch、ブラウザ、アプリケーションなどにさまざまな痕跡が残る場合があります。

ただし、PCフォレンジックは「PCを解析すれば過去の操作をすべて再現できる技術」ではありません。一つの記録だけで、特定人物の操作や情報持ち出しまで断定せず、複数の証拠を時系列で照合することが重要です。

PCフォレンジックで何が分かる？Windows PCに残る証拠を確認する

調べたい内容からWindowsフォレンジックの記事を探す

• ファイルを開いた・利用した履歴を確認する
• ファイルコピーの痕跡を確認する
• USBメモリの接続・利用履歴を確認する
• MFT・USNジャーナルからファイル操作を確認する
• 削除されたファイルや削除痕跡を確認する
• Chrome・Edgeのブラウザ履歴を確認する
• アプリ・プログラムの実行履歴を確認する
• Windowsのログオン・ログオフ履歴を確認する
• ソフトのインストール・削除履歴を確認する
• Windowsの印刷履歴を確認する
• PowerShellの実行履歴を確認する
• ZIP・7zファイルの作成・圧縮履歴を確認する

ファイルを開いた・利用した履歴を調べる

特定のファイルが過去に利用されたかを調べる場合は、LNKファイル、Jump Lists、Recent Files、Office等のアプリケーション履歴などを確認します。

これらから、ファイル名、保存場所、利用したアプリケーション、関連する日時などを確認できる場合があります。

ただし、LNKやJump Listsが存在することと、本人がファイル内容を読んだことは同じではありません。別の記録と組み合わせて評価します。

Windowsでファイルを開いた履歴は分かる？LNK・Jump Listsの調査方法

MFT・USNジャーナルからファイル操作を確認する

NTFSでは、MFT（Master File Table）からファイルやフォルダの管理情報を、USNジャーナルからファイルシステム上の変更記録を確認できる場合があります。

ファイルの存在、作成、変更、名前変更、移動、削除などを時系列で検討するときに重要な証拠源です。

ただし、MFTやUSNジャーナルもWindows上のすべての操作を記録する完全な履歴ではありません。また、変更記録があることだけで、誰がどのような目的で操作したのかまでは確定できません。

MFT・USNジャーナルとは？Windowsのファイル履歴を解析

ファイルコピー・USBへの持ち出しを調べる

通常のWindows PCに、過去のすべてのファイルについて「どこからどこへコピーしたか」を一覧表示できる万能な標準履歴が必ず残っているわけではありません。

ファイルコピーを調べる場合は、コピー元・コピー先のファイル、MFT・USN、LNK・Jump Lists、USB接続情報、監査ログ、外部媒体のファイルシステム、ハッシュ値などを組み合わせます。

「ファイルが存在した」「開いた」「コピーした」「外部へ持ち出した」は、それぞれ別の事実として評価します。

Windowsでファイルコピー履歴は分かる？USBへのコピー痕跡と調査方法

USBメモリの接続・利用履歴

USBメモリや外付けストレージについては、Windowsに残るデバイス関連情報、レジストリ、イベントログ、SetupAPI、LNK・Jump Lists、ファイルシステムなどを確認します。

USBが接続されていたことと、特定のファイルがUSBへコピーされたことは別です。USB本体を確保できている場合は、PC側とUSB側のファイル、ハッシュ値、日時情報などを比較できる場合があります。

USBメモリの接続履歴・ファイルコピー・情報持ち出しの痕跡を調べる

削除されたファイルと削除痕跡を調べる

ファイルが削除されていても、ごみ箱、MFT、USNジャーナル、LNK、Jump Lists、VSSなどに、過去にファイルが存在したことや削除に関係する痕跡が残っている場合があります。

一方、削除されたファイル本体を復元できるかどうかは、保存媒体、削除方法、削除後の利用状況、上書き、SSDのTRIMなどに左右されます。

「削除ファイル本体を復元できること」と「過去にファイルが存在した痕跡を確認できること」は分けて考えます。

削除ファイルは復元できる？フォレンジックで分かる痕跡と限界

ブラウザ履歴・ダウンロード履歴を調べる

ChromeやEdgeなどのWebブラウザでは、閲覧履歴、ダウンロード履歴、Cookie、キャッシュ、セッションなどから、どのようなWebサイトやサービスが利用されたかを確認できる場合があります。

ただし、クラウドストレージのページを開いた履歴があることと、特定ファイルをアップロードしたことは同じではありません。

外部送信を確認する場合は、PC側の記録だけでなく、クラウド、メール、DLP、EDR等の記録との照合が必要になる場合があります。

ブラウザ履歴はフォレンジックでどこまで分かる？Chrome・Edgeを調査

アプリ・プログラムの実行履歴を調べる

Windowsでは、Prefetch、Amcache、UserAssist、SRUM、イベントログなどから、アプリケーションやプログラムの存在・実行に関する手掛かりを確認できる場合があります。

ただし、「ファイルが存在した」「ソフトがインストールされた」「プログラムが実行された」「特定人物が操作した」は、それぞれ異なる事実です。

Windowsのアプリ実行履歴はどこまで分かる？

ソフトのインストール・削除履歴

現在インストールされているアプリだけでなく、レジストリ、Windows Installer関連記録、Amcache、Prefetch、MFT・USNなどから、過去に存在したソフトの痕跡を確認できる場合があります。

アンインストールされているからといって、関連する痕跡がすべて消えるとは限りません。一方、現在のアプリ一覧にないことだけで、過去に存在しなかったとも判断できません。

Windowsのソフトインストール履歴・削除済みアプリの痕跡を調べる

Windowsのログオン履歴を調べる

Windowsイベントログ等から、アカウントのログオン・ログオフ、ロック・ロック解除などの記録を確認できる場合があります。

ただし、Windowsアカウントの利用記録と、実際にキーボードやマウスを操作した人物は必ずしも同じではありません。

PCの割当情報、ログオン種類、リモート接続、前後のアプリ・ファイル操作などを組み合わせて評価します。

Windowsのログイン履歴を確認｜イベントログで分かること・限界

Windowsの印刷履歴を調べる

Windowsでは、PrintService関連のイベントログや印刷ジョブ、環境によってはスプール関連データなどから、印刷に関する記録を確認できる場合があります。

文書名、ユーザーアカウント、プリンター、日時などを確認できることがありますが、印刷ジョブが記録されていることと、紙が正常に出力されたこと、特定人物がその紙を持ち出したことは別の事実です。

Windowsの印刷履歴を確認｜誰が何を印刷したか残るログと証拠

PowerShellの実行履歴を調べる

PowerShellについては、PSReadLine、PowerShellイベントログ、Windows側の実行痕跡などから、過去のコマンドやスクリプト実行に関する手掛かりを確認できる場合があります。

ただし、設定や保存状況によって残る記録は異なり、一つの履歴だけですべてのコマンド、処理結果、実際の操作者まで確認できるとは限りません。

PowerShellの実行履歴｜PSReadLine・イベントログに残る痕跡

ZIP・7zなど圧縮ファイルの作成履歴を調べる

ZIP・7z等の圧縮ファイルが作成された場合、圧縮ファイル本体、MFT・USN、圧縮ソフトの痕跡、アプリ実行記録、元ファイルなどから、作成や削除の流れを確認できる場合があります。

ただし、圧縮ファイルを作成したことだけで、情報持ち出しを目的としていたことや、USB・クラウド等へ実際に転送したことまで確定することはできません。

ZIP・7zファイルの作成履歴・圧縮・削除痕跡を調べる

Windows・PCフォレンジックで確認する主な証拠

• MFT・USNジャーナル
• LNK・Jump Lists・Recent Files
• Recycle Bin
• Windowsイベントログ
• Windowsレジストリ
• Prefetch
• Amcache・UserAssist・SRUM
• USB・外部デバイス関連情報
• Chrome・Edge等のブラウザデータ
• アプリケーション固有のログ・履歴
• 印刷・スプール関連記録
• VSS・バックアップ等の過去データ

どの証拠を確認するかは、「何を明らかにしたいのか」によって変わります。すべてのアーティファクトを機械的に調べるのではなく、調査目的に応じて必要な証拠を選び、互いの整合性を確認します。

一つの痕跡だけで操作や人物を断定しない

PCフォレンジックでは、証拠が示す範囲を超えて結論を広げないことが重要です。

例えば、「USBを接続した」「ファイルを開いた」「アプリを実行した」「クラウドサービスへアクセスした」という記録があっても、それぞれ単独で情報持ち出しや不正行為を証明するものではありません。

複数の独立した記録が、同じ対象ファイル、時間帯、端末、アカウントなどを示しているかを確認し、確認できた事実と推定を分けて整理します。

調査前にPCを不用意に操作しない

社内不正、情報持ち出し、退職者によるデータ削除などが疑われる場合は、対象PCを初期化・再配布したり、復元ソフトをインストールしたり、大量のファイル操作を行ったりする前に、証拠保全の必要性を確認します。

PCを通常利用し続けることで、新しいデータが書き込まれ、古いログや削除データなどに影響する場合があります。

調査で証拠として使用する可能性がある場合は、対象端末、利用者、取得日時、保存方法などを記録し、必要に応じてフォレンジックイメージ等による保全を検討します。

Windows・PCフォレンジックは複数の証拠を時系列で照合する

Windowsフォレンジックでは、一つのアーティファクトから結論を出すのではなく、複数の記録を同じ時間軸へ並べて確認します。

例えば、USB接続の直前に重要ファイルが利用され、その後に大量のファイル操作やZIP作成があり、同じ時間帯に外部媒体に関する痕跡が確認された場合、それぞれの記録がどこまで同じ出来事を裏付けているのかを検討します。

重要なのは、記録が多いこと自体ではなく、「その記録から何が確認でき、何までは確認できないのか」を明確にすることです。