ドメインとURLの証拠保全

スクリーンショットだけでなく、来歴を保全する

有用な証拠記録は、元のアーティファクト、収集者、収集方法、データソース、およびUTC時刻を特定します。人間が読める解釈だけでなく、生データを保全してください。スクリーンショットは外観を文書化できますが、メッセージヘッダー、DNS応答、または応答アーティファクトの代わりにはなりません。

公開記録は変更されます。後日行われた検索は、インシデント発生時に利用可能だったデータと異なる場合があります。観察時刻を明示的に記録し、現在のDNS応答が過去の状況を記述しているかのように示唆することを避けてください。

完全性と取り扱い

保存されたファイルの暗号学的ハッシュを計算し、そのハッシュ値を管理された証拠ログに保持してください。ハッシュは成果物への変更を検出するのに役立ちますが、元の内容が正確であったことや、収集者が適切な手順を踏んだことを証明するものではありません。

占有、転送、アクセス、目的を記述した証拠の連続性記録を維持します。調査に適したアクセス制御、保持規則、およびデータ最小化を適用してください。法的な許容性は、レポート形式だけでなく、管轄区域と状況に依存します。

事実、推論、および限界

生データをそのまま観測した結果、分析的解釈、未回答の質問を明確に区別してください。レジストラ、共有ホスティングアドレス、プライバシープロキシのみからオペレーターを特定することは避けてください。すべての重要な結論が裏付けとなる証拠にたどれるようにしてください。

• 元のアーティファクトと生のリソースルックアップ応答を保存します。
• ソース、方法、UTC収集時間、収集者を記録する。
• ハッシュによって保存されたファイルとログの処理イベント。
• 事実、仮説、および利用できないフィールドを別々にラベル付けしてください。
• データ収集の制限を明記し、必要に応じて法的助言を求めてください。