技術者向けS=1:5
再起動の前に証拠を残す
VPN 機器の調査に要る記録の多くは機器の中にあり、再起動、更新、初期化で一部が消える。ログを全て保全できた被害は102件中25件。半田病院と大阪急性期・総合医療センターは VPN のログを失った。
要旨
どのアカウントがどこからログインし、機器の何が変わったか。調査の最初の問いには機器のログが答えるが、多くの機器はこれを容量の限られた本体内にしか置かない。日本の2つの病院では、攻撃の後に業者がログを保存しないままファームウェアを更新し、調査委員会は侵入の経緯を確定できなかった。
技術者向けの詳細
ログは3種類、多くは機器の中にある
名前は製品ごとに違うが、SSL-VPN 機器はおおむね次の3種類の記録を残す。
| ログ | 記録する内容 | 答えられる問い |
|---|---|---|
| 認証・VPN セッション | 利用者、接続元アドレス、割り当てたトンネル内アドレス、開始と終了の時刻、転送量 | 露出期間中に、どのアカウントがどこから使われたか |
| 管理・設定変更 | 管理者のログイン、設定変更、設定の書き出し、アカウントの追加 | 設定を持ち出されたか、再侵入の手段を足されたか。JPCERT/CC は FortiGate について、設定の書き出し履歴と意図しない管理者アカウントの確認を求めている（JPCERT-AT-2026-0019） |
| システム・クラッシュ | デーモンの異常終了、再起動、更新、ハードウェアの事象 | メモリ破壊を狙う攻撃が試みられたか。試行は成否にかかわらず、要求を処理するデーモンを落とすことがある |
Logdesc=Application crashed and msg=[...] application:sslvpnd,[...], Signal 11 received, Backtrace: [...]Logdesc=Application crashed: プロセスが予期せず止まった。application:sslvpnd: 止まったのは認証前の要求を処理する SSL-VPN デーモン。Signal 11: セグメンテーション違反。CVE-2022-42475 のようなヒープオーバーフローの試行が失敗すると、この形で出やすい。
出典: Fortinet PSIRT Heap-based buffer overflow in sslvpnd (FG-IR-22-398, Indicators of Compromise)
英国 NCSC は2026年、ネットワーク機器では防御側が「can have fewer tools available to them than the attacker」と書き、「manufacturers should provide supported mechanisms for gathering the evidence needed to investigate incidents」とした。
出典: JPCERT/CC Fortinet製品に関連する認証情報の漏えいに関する注意喚起 (JPCERT-AT-2026-0019)NCSC（英国） Making forensic observability the norm for network devices
ログを全て保全できた被害は102件中25件
警察庁の調査で挙がった原因のうち、「犯人による削除」と「暗号化」は手の届く場所にあるログへの侵入者の操作で、「保存期間経過」は設定の問題だ。
出典: 警察庁 令和７年におけるサイバー空間をめぐる脅威の情勢等について（統計データ） (sheets 統計編P122, P124, P126, P129, P130; sheets 統計編P137, P138)
データ
| 項目 | 件数 |
|---|---|
| 全て保全 | 25 |
| 一部利用不可 | 64 |
| 利用不可 | 8 |
| ログ取得無 | 5 |
| 原因: 犯人による削除 | 20 |
| 原因: 暗号化 | 20 |
| 原因: 保存期間経過 | 18 |
| 原因: 誤削除 | 3 |
| 原因: その他 | 7 |
対象は回答したランサムウェア被害の全体で、VPN から侵入された事案に限らない。ログもサーバや PC のものを含む。
2つの病院は復旧作業で VPN のログを失った
なお、C 社が 10 月 31 日の夕方にファイアウォール Z のファームウェアを、バックアップを取らずにバージョンアップしたため VPN 機器の Syslog が消失した。そのため、10 月 31 日の攻撃が単独で行われたか否かを断定することはできなかった。
大阪急性期・総合医療センター 調査報告書 p.46
本侵入経路を証明するために VPN 装置等のログの分析を試みたが、インシデント発生後に A 社によってファームウェアの更新などの作業を、ログ保存などを鑑みずに実施されていたため調査を実施することができなかった。
半田病院 有識者会議調査報告書 本編 p.16
出典: 地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会 調査報告書 (pp.11–12, 18–19, 36–41, 45–47; pp.11, 37, 45–46, 71)徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案 有識者会議調査報告書 (printed pp.6–7, 13, 16, 21–22; pp.6–9, 13, 21, 37–38)
大阪では、病院のファイアウォールのログが2022年4月までさかのぼれた。そこから、10月の攻撃より何か月も前からの RDP 通信とログオン失敗が見つかっている（p.39）。
再起動、更新、初期化はそれぞれ何かを消す
メモリ上のものはどの作業でも消える。本体内のファイルは再起動ならたいてい残るが、更新ではそれを置く領域が置き換えられたり初期化されたりすることがあり、2つの病院で起きたのはこれだ。初期化はログと設定を消す。侵入者が置いたファイルは例外で、パッチのページの勧告には再起動や更新を、Ivanti では初期化まで生き延びた例がある。
ファームウェア更新: 証拠7項目のうち2項目が消える、3項目が消えうる。侵入者のファイルは残りうる。
出典: 地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会 調査報告書 (pp.11–12, 18–19, 36–41, 45–47; pp.11, 37, 45–46, 71)徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案 有識者会議調査報告書 (printed pp.6–7, 13, 16, 21–22; pp.6–9, 13, 21, 37–38)オランダ MIVD・AIVD（NCSC-NL 掲載） Ministry of Defence of the Netherlands uncovers COATHANGER, a stealthy Chinese FortiGate RAT (p.1, p.2 §3.1; p.1 (Wayback Machine capture of the NCSC-NL PDF of 2024-02-06; ncsc.nl no longer serves it))CISA（米国） ED 25-03: Identify and Mitigate Potential Compromise of Cisco Devices (Background; Background; V1 update 2026-04-23)CISA ほか（米国） Threat Actors Exploit Multiple Vulnerabilities in Ivanti Connect Secure and Policy Secure Gateways (AA24-060B)
データ
| 証拠 | 再起動 | ファームウェア更新 | 初期化 |
|---|---|---|---|
| 実行中のプロセスと通信 | 消える | 消える | 消える |
| メモリ上だけのログ | 消える | 消える | 消える |
| 本体内のログファイル | 残る | 消えうる | 消える |
| クラッシュの記録 | 残る | 消えうる | 消える |
| 発見時の設定 | 残る | 消えうる | 消える |
| 侵入者が置いたファイル | 残りうる | 残りうる | 残りうる |
| SIEM に送信済みのログ | 残る | 残る | 残る |
| 作業前に取り出した控え | 残る | 残る | 残る |
再起動の前に控えを取る
パッチ、再起動、初期化より前に、次の順で行う。インシデント対応の事業者が向かっているなら、機器に触れる前に指示を受ける。
| 手順 | 作業 | 理由 |
|---|---|---|
| 1 | 現在時刻、機器の時計と正確な時刻源とのずれ、通報後に機器へログインした人を書き留める | 機器、SIEM、ドメインコントローラ、ファイアウォールの時刻をそろえて時系列を作るため |
| 2 | 現在の設定を書き出す | 追加されたアカウントや変更された設定が分かる。秘密情報を含むので機密として保管する。Fortinet: 「Treat all configuration as potentially compromised」。復元元にはしない |
| 3 | 本体内のログをすべて書き出す（システム・クラッシュ、VPN・認証、管理） | 2つの病院が失ったもの |
| 4 | ベンダーが用意する診断・調査用の収集機能を使い、事業者が対応できるならメモリも取得する | 英国 NCSC の製造者向け仕様は「Volatile data collection」（メモリ、プロセスの状態、通信表、クラッシュダンプ）を挙げている。備えていない機器も多い |
| 5 | 控えのハッシュ値を取り、機器の外に読み取り専用で保管する | 控えの真正性を後で示せ、機器に何が起きても残る |
| 6 | ここで初めてパッチ、再起動、初期化を行う | 流れ図の続きに戻る |
出典: Fortinet PSIRT Analysis of Threat Actor Activity英国 国家サイバーセキュリティセンター（NCSC） Guidance on digital forensics and protective monitoring specifications for producers of network devices and appliances (Secure logging actions; Volatile data collection)NCSC（英国） Making forensic observability the norm for network devices
侵入者の手が届かない場所にログを置く
事故の後の控えには、機器にまだ残っているものしか入らない。毎日外へ送るログには、脆弱性が知られる前の数週間も入る。
| 設定 | 目標 | 根拠 |
|---|---|---|
| 送り先 | 機器の外の SIEM または syslog 収集サーバ。ほぼ即時に受け取る | CCCS: 「Enable centralized (off-device) logging and configure log levels to be as detailed as possible」。NCSC の仕様: 「appropriate remote logging solutions where feasible.」 |
| 詳細度 | 認証、セッション、管理、設定、クラッシュの事象を、機器が出せる最も細かい水準で | 同じ CCCS の記述 |
| 保存期間 | ゼロデイが公表されるまでの期間より長く。月単位 | CitrixBleed は2023年8月下旬から悪用、10月10日に公表。CVE-2025-0282 は2024年12月中旬から悪用、2025年1月8日に公表。警察庁の集計で、保存期間の経過でログを失った回答は18件 |
| 時刻 | 機器、収集サーバ、全サーバで同じ時刻源の NTP を使う | NCSC: 「All systems should run the network time protocol (NTP) from reputable and redundant sources.」 |
| 警報 | 管理者ログインの成功、設定変更、ハードウェアの変更 | CCCS: 「Alert on successful administrative log-ons, configuration changes and hardware changes」 |
出典: カナダ サイバーセキュリティセンター Security considerations for edge devices (ITSM.80.101) (ITSM.80.101)英国 国家サイバーセキュリティセンター（NCSC） Guidance on digital forensics and protective monitoring specifications for producers of network devices and appliances (Secure logging actions; Volatile data collection)Mandiant（Google Cloud） Investigation of Session Hijacking via Citrix NetScaler ADC and Gateway Vulnerability (CVE-2023-4966)Google Cloud（Mandiant） Ivanti Connect Secure VPN Targeted in New Zero-Day Exploitation警察庁 令和７年におけるサイバー空間をめぐる脅威の情勢等について（統計データ） (sheets 統計編P122, P124, P126, P129, P130; sheets 統計編P137, P138)