01 ·
証拠の取得
ディスクとメモリのイメージ取得、端末とインフラからのログ・アーティファクトの収集を、証拠保全と保管の連続性（チェーン・オブ・カストディ）を確保して行います。証拠が劣化する前に確保します。
デジタルフォレンジック： インシデント対応の中で攻撃を再構成する
インシデントの後に必要なのは、事実にもとづく答えです：どこから侵入したか、何に触れたか、何を持ち出したか。 Fortgaleのデジタルフォレンジック（DFIR）は、インシデント対応における分析の工程です：証拠、攻撃の再構成、IOC。 裁判用の鑑定ではなく、封じ込めと社内外への報告を方向づける技術的な分析です。
標準
MITRE ATT&CK
NIST IR
ISO/IEC 27001
成果物
証拠 · 保管の連続性
攻撃のタイムライン
IOC
提供内容 · DFIR
3つの問い、ひとつの再構成
Fortgaleのフォレンジックはインシデント対応の中にあります：攻撃を封じ込めるアナリストが、そのまま攻撃を再構成します。
02 ·
攻撃の連鎖の再構成
初期侵入、永続化、横展開、権限昇格。最初の侵害から攻撃者の目的達成までのタイムラインを、MITRE ATT&CKにマッピングします。
03 ·
何に触れ、何が持ち出されたか
アクセスされたもの、暗号化されたもの、外部に持ち出されたものを切り分けます：社内外への報告と保険請求の基礎です。あわせて、再侵入を防ぐためのIOCを提供します。
提供範囲について
裁判のためではなく、運用のためのフォレンジック
Fortgaleはフォレンジックをインシデント対応の一部として提供します。証拠と再構成の結果は、社内外への報告、保険、社内の意思決定を支えます。司法の場で用いる鑑定書や技術的な専門家意見書は別の専門領域であり、Fortgaleは提供しません。この点は明確にお伝えしています。
→
インシデント対応の中で
フォレンジックは封じ込めと根絶に直結します。インシデントレスポンスサービスと、それを24時間365日体制で運用するMDRをご覧ください。
→
報告を支える
証拠があることで、該当する場合の個人情報保護委員会への漏えい等報告を正確に行えます。報告が必要かどうかの判断と手続きは、お客様と法務の専門家が行います。
→
リサーチが支える
マルウェアと攻撃者の分析（CTI：287の脅威アクターを継続的に追跡）が、再構成を速めます。攻撃者の動き方を、すでに知っているからです。
実際の事例 · 攻撃の連鎖の再構成
Operation Storming Tideでは、Fortgaleのチームが多段階の攻撃の連鎖（Mora_001：Matanbuchus 3.0 → Astarion RAT → SystemBC、RCloneによるデータの持ち出し）を再構成し、MITREにマッピングしてIOCを公開しました。データの持ち出しとランサムウェアの実行は阻止しています。
分析を読む（英語） →実際の事例 · マルウェア分析
Nebula Brokerでは、独自マルウェアBrokerLoaderを分析し、攻撃者を特定しました：その後、Mandiant（Google）がUNC4990として確認しています。アラートだけでなく、コードそのもののフォレンジック分析です。
リサーチを読む（英語） →よくある質問 · DFIR
Fortgaleのフォレンジックとは（そして何ではないか）
裁判用の鑑定書や専門家意見書を作成しますか？
いいえ。Fortgaleはデジタルフォレンジックをインシデント対応の一工程（DFIR）として提供します：攻撃の分析、証拠、再構成です。司法の場で用いる鑑定書や技術的な専門家意見書は提供しません。それは法的手続きに特化した別の専門領域です。
Fortgaleのフォレンジック調査には何が含まれますか？
証拠（ディスク、メモリ、ログ）の取得と保全、アーティファクトの分析、侵入経路と横展開の再構成、持ち出されたデータの特定、MITRE ATT&CKにマッピングしたIOCです。
フォレンジック調査はいつ行いますか？
インシデントの最中と収束後に、インシデント対応の中で行います。答えるのは3つの問いです：どこから侵入したか、何に触れたか、何を持ち出したか。その答えが封じ込め、復旧、社内外への報告を方向づけます。
調査結果は当局への報告や保険請求に使えますか？
はい。該当する場合の個人情報保護委員会への漏えい等報告、サイバー保険の請求、社内の記録を支える技術的な事実を提供します。報告が必要かどうかの判断と正式な手続きは、お客様と法務の専門家が行います。法的な判断は弁護士等の専門家にご確認ください。
DFIRとインシデント対応の違いは何ですか？
インシデント対応は検知、封じ込め、根絶、復旧までの全工程です。フォレンジックはその中で事実を再構成する分析の工程です。Fortgaleでは同じチームが担います：封じ込めを行うアナリストが、そのまま再構成も行います。
日本語で対応できますか？
サービスの提供、レポート、緊急対応は英語で行います。お問い合わせは日本語でも受け付けますが、回答は英語となる場合があります。
何が起きたのかを把握する必要がありますか？
攻撃を再構成することが、収束への第一歩です。
Fortgaleのインシデント対応チームにご相談ください。証拠を取得し、攻撃の連鎖を再構成し、持ち出されたデータを特定します。欧州のSOCが24時間365日体制で運用するインシデントレスポンスサービスの一部として提供します。