3.4証拠の種別

同じインシデントでも、手元のログや成果物が「何をどこまで立証できるか」は一様ではありません。オリジナルのディスクイメージや実際の通信を丸ごと記録したものは強い立証力を持ち、別系統のログはそれを裏づけ、あるツールの存在は「使われたかもしれない」を推認させるだけかもしれません。この節では証拠を最良証拠・補強証拠・間接（状況）証拠に整理し、与えられたログを見てその立証力の種別を即断できるようにします。証拠の格を取り違えると、結論を過大にも過小にも見積もってしまいます。

3.4.13種の証拠

• 最良証拠（best evidence）＝事実を最も直接的かつ信頼性高く立証する一次的な証拠。改変されていないオリジナルそのもの——ディスクのフォレンジックイメージ、実際のイベントを丸ごと記録したフルパケットキャプチャ、原本のシステムログなど。完全性（ハッシュ）と保全の連鎖が伴えば、事実認定の中核になる。
• 補強証拠（corroborative evidence）＝それ単独では決定打にならないが、他の証拠を支持/裏づける証拠。最良証拠が示す事実を、別系統のログ（例：ファイアウォールログ、認証サーバのログ、NetFlow）が独立に裏づける形。複数の補強が揃うほど結論の確度が上がる。
• 間接証拠（indirect/circumstantial・状況証拠）＝事実を直接には示さず、状況から推認させる証拠。例えば「攻撃ツールがホスト上に存在した」ことは、実際にそれで攻撃した瞬間を直接記録してはいないが、他の事実と合わせれば関与を推認させる。単独では弱く、積み重ねと整合で価値が出る。

3.4.2ログを種別に当てはめる

• 判断の順序は「
  ①そのログは事実そのものの一次記録か（＝最良証拠候補）→
  ②他の一次証拠を裏づける位置か（＝補強）→
  ③事実を直接は示さず推認させるだけか（＝間接）」。同じNetFlowでも、ある事実の一次記録なら最良証拠に近く、別の最良証拠を支えるなら補強証拠として働く——役割（立証したい事実との関係）で種別が決まる点に注意。
• 実務では最良証拠を核に、補強証拠で確度を上げ、間接証拠は積み重ねて整合を見るのが定石。完全性を欠く（ハッシュ/連鎖が無い）と、本来最良であるべき証拠の格が下がる。だから s3 の証拠保全の連鎖とセットで扱う。

あなたは「ある内部端末から機密データが外部へ持ち出された」という疑いを調べ、3つの材料を手にしています。
①その端末から取得したフォレンジックディスクイメージ（ハッシュ付き・保全の連鎖あり）に、該当ファイルが外部ストレージ用ディレクトリへコピーされた痕跡と実データが残っている。
②境界のファイアウォールログ/NetFlowに、同時刻に当該端末から外部への大量アップロードのフローが記録されている。
③その端末に、データ持ち出しに使える転送ツールがインストールされていたという事実。これらを同じ重みで扱うのは誤りです。
①は事実（データがコピーされ持ち出された）を最も直接立証する一次記録＝最良証拠で、完全性と連鎖が伴うため事実認定の核になります。
②は
①が示す持ち出しを別系統から独立に裏づける補強証拠——単独では「大量通信があった」までしか言えませんが、
①と時刻・データ量で整合すれば確度を大きく高めます。
③は間接（状況）証拠にすぎません——ツールの存在は「持ち出しが可能だった/その手口が使われたかもしれない」を推認させるだけで、実際に持ち出した瞬間を直接は示しません。したがって結論の組み立ては、
①を軸に、
②で裏づけ、
③を状況として積み増す、という順序が妥当です。逆に、
③だけを根拠に「このツールがあるから犯人だ」と断定するのは、間接証拠を最良証拠のように過大評価する典型的な誤りです。また、もし
①のイメージにハッシュや保全の連鎖が無ければ、本来最良であるべき証拠の格が下がり、相手に「改ざんの可能性」を突かれます——だから証拠の種別は、取得時の完全性の担保と切り離せません。「そのログは事実を直接立証するのか、裏づけるのか、推認させるだけなのか」を役割で見分けることが、過大にも過小にもならない事実認定の要です。

3.4.3この節のまとめ

• 最良証拠は事実を最も直接立証する一次的な原本（フォレンジックイメージ/フルパケットキャプチャ/原本ログ）で、完全性と保全の連鎖が前提
• 補強証拠は別系統の記録で最良証拠を裏づけ、間接（状況）証拠は直接示さず推認させる（単独で断定しない）
• 種別は立証したい事実との「役割」で決まる——最良証拠を核に、補強で確度を上げ、間接は積み重ねと整合で扱う