フォレンジック調査の費用と期間｜調査範囲・証拠保全・見積もりの決め方

ランサムウェアや不正アクセスの被害を受けてフォレンジック調査の費用を見積もってもらうと、料金の単位が1台・期間・時間・一括と事業者ごとにばらばらです。差の理由が分からないまま選んだり、返事を待つ間に機器を初期化したりすると、侵入経路や持ち出しの有無を記録で確かめられなくなります。

見積もりの差の理由を読み、記録を消さずに依頼できるよう、フォレンジック調査の費用を決める料金の単位と解析範囲の違いを押さえたうえで、依頼前の証拠保全（ログ・端末の保全、操作の記録）、調べ始めてから範囲が広がるときと記録が足りないときの扱い、見積もりに必要な項目と比べ方を見ていきます。

インシデント対応の基本と、初動から報告までの進め方は「インシデント対応のフロー｜不正アクセス・ランサムウェアの初動から復旧・報告までの手順」で説明している。

フォレンジック調査の費用・期間を決める条件

フォレンジック調査の費用と期間は、何台の機器のどの記録を、どこまでさかのぼって解析するかで決まります。フォレンジック調査は、PCやネットワーク機器、クラウドサービスに残った証拠を解析し、事故の原因や被害の範囲を特定する調査です。

費用の目安は、JNSA（日本ネットワークセキュリティ協会）の『インシデント損害額調査レポート』（2024年）にあります。

JNSAによると、PCとサーバー数台程度なら、初動対応と合わせた費用は概ね300万〜400万円です。調べる端末が増えると、数千万円以上になることもあります。目安に幅があるのは、調べる台数と記録の量で作業が変わるためです。

同じレポートは事業者16社の料金を並べ、料金の単位が事業者ごとに違うと注意しています。料金表を単位ごとに分けると、次の4つが混ざっています。

フォレンジック調査の相場は、1台の単価だけでは比べられません。何台・何日分の金額か、初動対応や報告書を含むかを確かめます。

たとえば、同じ表でも、1週間200万円の料金は初動対応に調査を含み、5営業日で300万〜500万円の一括料金は1〜2台を見込んでいます。つまり、金額だけを並べると、対象の台数と作業の範囲が違うものを比べることになります。

1台数万円の料金は、作業の中身が違うことがあります。具体的には、同じレポートで、データ復旧業者の料金（5,000円〜20万円程度）は調査とは別の費用で、調査の表で1台数万円の単価はファスト・フォレンジックだけです。そのため、安い単価を見たら、どの作業の料金かを先に確かめます。

フォレンジック調査の対象数と解析範囲

対象数と解析範囲は、詳しく解析する機器と、最低限のデータだけを見る機器の分け方で決まります。JNSAが紹介するファスト・フォレンジックは、全台を調べる必要がある場合などに、原因や侵入経路を早くつかむため、最低限のデータだけを抜き出して解析する手法です。

同じ表で、ファスト・フォレンジックの単価は1台3万〜60万円や「50台まで350万円」です。台数がそのまま料金に効く詳しい解析より低くなっています。

詳しく解析する台数を絞れば、台数に比例する費用を抑えつつ、ほかの機器に侵入の跡がないかも確かめられます。見積もりを頼むときは、どの機器を詳しく、どの機器を広く調べる前提かを書いてもらいます。

クラウドやWebのログは、台数で数えられません。解析する量で日数が変わるので、何日分・どのくらいの量かを伝えて見積もってもらいます。

費用と期間は、台数とログの量に、明らかにしたい問いと報告書の用途を加えた4つの条件で、次のように変わります。

フォレンジック調査期間と記録の状態

フォレンジック調査の期間は、解析する量と、記録が残っているかで変わります。JNSAは、ログを専門家が長時間かけて分析するため、調査に数週間以上かかることもあるとしています。

記録が残っていないと、調べ方そのものが変わります。たとえば、JPCERT/CCの『侵入型ランサムウェア攻撃を受けたら読むFAQ』によると、侵入型ランサムウェアでは、調査に要るログ自体が暗号化されて使えないことがあります。

クラウドでは、ログの保存期間で調べられる期間が決まります。たとえば、AWSのCloudTrail（AWSでの操作を記録するサービス）のイベント履歴は、管理イベント（設定の変更など）を過去90日分だけ保持します。記録が失われる場面ごとに、調べ方は次のように変わります。

調べられる記録を減らさないために、依頼の前から始めておく作業があります。

フォレンジック調査の依頼前に必要な証拠保全

依頼前の証拠保全で行うのは、消えやすい記録から順に残し、機器に加えた操作を記録することです。

NISTは『フォレンジック技術をインシデント対応に組み込むためのガイド』（SP 800-86）で、集める記録の優先順位を、得られそうな価値、消えやすさ、取得の手間で決めるとしています。

消えやすさを優先順位に入れるのは、後回しにした記録が、調査会社が取りかかる前に失われることがあるためです。

フォレンジック調査前のログ・端末の保全

ログ・端末の保全で最初に気にかけるのは、電源を切ると消える記録です。SP 800-86によると、メモリの内容や接続中の通信のような揮発性のデータは、電源を切ると失われます。ディスクに残るログも、新しい記録で古い記録が上書きされていきます。

一方でJPCERT/CCは、暗号化や侵害が確認された機器を、被害の拡大を防ぐため、すぐにネットワークから隔離するよう勧めています。隔離を急ぐ場面では、電源を切るか、つないだまま通信だけを外すかを、その場で決めることになります。

SP 800-86は、揮発性のデータを残すかどうかの判断基準を、事前に文書にしておくよう求めています。隔離のしかたごとに、残る証拠を並べると次のようになります。

電源を切らずに通信だけを外せば、メモリの内容を残したまま被害の拡大を止められます。一方で、初期化や復元は侵入経路の痕跡を消します。

証拠取得時の操作記録と保管先

証拠を取るときの操作記録は、報告書を訴訟や懲戒に使う可能性があるときに欠かせません。SP 800-86は、その場合に証拠の管理の連続性（chain of custody）を守るよう求めています。

管理の連続性は、証拠を誰がいつ扱ったかを途切れなく示せる状態を指します。そのために、証拠を預かった人全員の記録と、各人がいつ何をしたかを残し、使わないときは安全な場所に保管します。

複製は、保管用と解析用に分け、原本には手を触れません。ハッシュ値は、データから計算する値で、1ビット変わると別の値になります。複製から解析までは、次の順に進めます。

報告書を訴訟や懲戒に使うかどうかで、手続きの厳密さと手間が変わります。そのため、用途は見積もりの前に伝えます。証拠を残す手順が決まったら、次は調べる範囲がどこまで広がりうるかを見ておきます。

フォレンジック調査の費用に関わる調査範囲と記録不足

調査範囲は調べ始めてから広がることがあり、広がった分はフォレンジック調査の費用に追加されます。また、記録が残っていない期間や機器は、費用をかけても調べきれません。

JNSAのレポートの事業者座談会では、調査中に感染したPCが新たに見つかったときなどは、依頼元と相談して追加で対応すると話されています。追加になる場面を前もって知っておけば、見積もりの段階で単価と相談の手順を確かめられます。

フォレンジックで追える侵入・操作の経過

侵入・操作の経過は、記録の時刻を並べて組み立てます。NISTの『インシデント対応の推奨事項と考慮事項』（SP 800-61 Rev.3）は、分析で何がどの順に起き、それぞれにどの資産が関わったかを明らかにし、根本原因を探すとしています。

実際の記録では、侵入経路と持ち出しの有無を判断するまで、次の順に組み立てます。

同じ資料は、狙われたと分かっている機器だけでなく、ほかに狙われうる機器でも侵害の痕跡を探すよう求めています。省くと被害を小さく見積もり、攻撃が続くおそれがあるといいます。調べる機器が当初より増えるのは、多くがこの確認のためです。

報告書では、記録で裏付けた経過と、推測で埋めた部分が分けて書かれているかを確かめます。分けてあれば、どこが記録で確かめた事実で、どこが推測かを区別して社内外に説明できます。

ログ不足による調査の限界

ログ不足による調査の限界は、痕跡が見つからなかったことが、被害がなかったことの証明にならない点にあります。というのも、記録が残っていない期間や機器では、痕跡を探せないからです。

たとえばAWSのCloudTrailは、初期設定ではS3（AWSのファイルの保管サービス）のファイルの読み出しや削除（データイベント）を記録しません。初期設定のまま使っていた場合に、追える操作と追えない操作は次のように分かれます。

つまり、設定の変更は追えても、ファイルが持ち出されたかどうかは記録から判断できません。報告書には、記録がなかった期間と機器、判断できなかった事項が書かれているかを確かめます。書かれていれば、取引先や個人情報保護委員会への説明で、どこまで言えるかを決められます。

ここまでの条件は、見積もりを頼むときに事業者へ伝える項目になります。

通信の記録とOSの監査ログが残っていると何を確かめられるかは、観測用のPHPサーバーに届いた攻撃が実行されたかを調べた攻撃POSTの解析で書いた。

フォレンジック調査の費用見積もりに必要な項目

費用の見積もりを頼むときに伝えるのは、明らかにしたい問い、対象機器、ログ、時系列のメモ、報告書の用途と期限です。次の項目を1枚にまとめ、どの事業者にも同じものを渡します。

前提をそろえるのは、届いた見積もりの差が、料金の単位や作業の範囲の違いから来ていると読めるようにするためです。

1. 明らかにしたい問い：侵入経路、情報の持ち出しの有無、影響を受けた機器の範囲のどれを知りたいか
2. 対象機器：PC・サーバーの台数、OS、ディスク容量、電源と隔離の状態
3. ログ：VPN機器・ファイアウォール・クラウドの操作ログ・Webのアクセスログの有無と保存期間、委託先が持つログを取り寄せられるか
4. 時系列のメモ：最初に異常に気づいた日時、再起動・初期化・駆除をした機器と時刻
5. 報告書の用途と期限：個人情報保護委員会への報告、取引先への説明、訴訟など

時系列のメモに再起動・初期化・駆除をした時刻を書くのは、その操作で失われた記録があるかを、調査会社が見当を付けられるようにするためです。

報告書の用途に個人情報保護委員会への報告が入るときは、期限も伝えます。個人データの漏えい等で報告が必要な場合、速報と確報には次の期限があります。

確報では原因なども報告します。そのため、確報の期限までにどこまで分かるかは、見積もりの段階で事業者に確かめます。

見積もりが届いたら、次の点を比べます。

料金の単位と範囲が広がったときの扱いを比べれば、金額の差がどこから来るかが分かります。

フォレンジック調査の費用は、何台の機器のどの記録をどこまでさかのぼって調べるかで決まり、残っていない記録は費用をかけても調べられません。社内では、依頼の前から消えやすい記録の保全と機器への操作の記録を始められます。依頼するときは、見積もりに要る項目を1枚にまとめて、複数の事業者に同じものを渡します。