🔍 ジマーマンツールとは？

解析

デジタルフォレンジックや、インシデントレスポンス（DFIR：Digital Forensics and Incident Response）の世界に足を踏み入れると、ほぼ必ず耳にする名前があります。それが 「ジマーマンツール（EZ Tools）」 です。

ジマーマンツールとは、エリック・ジマーマン（Eric Zimmerman）氏が開発・公開している、Windows フォレンジック解析に特化したツール群の総称です。元 FBI の特別捜査官という経歴を持つ同氏は、現在もフォレンジック分野の第一線で活躍しており、そのツール群は世界中のセキュリティ専門家、法執行機関、インシデントレスポンスチームに愛用されています。

驚くべきことに、これらのツールはすべて 無料で公開 されています。商用ツールに引けを取らない、あるいはそれ以上の解析精度と使いやすさを持ちながら、誰でも自由に使えるのです。

この記事では、ジマーマンツールの全体像から、各ツールの役割、導入方法、そして実際の使い方まで、できるだけわかりやすく解説します。フォレンジック初心者の方も、「名前は聞いたことあるけど使ったことはない」という方も、ぜひ最後まで読んでみてください。

📌 この記事で学べること
・ジマーマンツール（EZ Tools）の概要と背景
・代表的なツールの種類と役割
・PowerShell を使った一括導入方法
・主要ツール（PECmd、LECmd、MFTECmd など）の具体的な使い方
・Timeline Explorer を使った解析の効率化

  1. 🧑‍💻 開発者エリック・ジマーマン氏について
  2. 📦 ジマーマンツールの全体像
    1. ① ファイル実行証跡の解析
    2. ② ファイルアクセス・操作履歴の解析
    3. ③ ファイルシステムの解析
    4. ④ レジストリ・イベントログ・データベースの解析
    5. ⑤ タイムライン分析・ビューワ
  3. ⚙️ 導入方法 ― PowerShell で一括インストール
    1. Step 1：PowerShell を管理者権限で開く
    2. Step 2：実行ポリシーを確認・変更する（必要な場合）
    3. Step 3：スクリプトをダウンロードして実行する
    4. Step 4：.NET 8 ランタイムが必要な場合
  4. 🔧 主要ツールの使い方を徹底解説
    1. ① PECmd ― Prefetch ファイルの解析
      1. Prefetch ファイルとは？
      2. 基本的な使い方
      3. 出力例の見方
    2. ② LECmd ― LNK ファイル（ショートカット）の解析
      1. LNK ファイルとは？
      2. 基本的な使い方
      3. 注目すべき出力フィールド
    3. ③ JLECmd ― ジャンプリストの解析
      1. ジャンプリストとは？
      2. 基本的な使い方
    4. ④ MFTECmd ― マスターファイルテーブルの解析
      1. MFT（$MFT）とは？
      2. 基本的な使い方
      3. タイムスタンプに関する重要な知識：MACB
    5. ⑤ EvtxECmd ― Windows イベントログの解析
      1. Windows イベントログとは？
      2. 基本的な使い方
      3. マップ（Maps）機能について
      4. セキュリティ調査で重要なイベント ID
    6. ⑥ AmcacheParser ― アプリ実行痕跡の深掘り解析
      1. Amcache とは？
      2. 基本的な使い方
    7. ⑦ RECmd ― レジストリの詳細解析
      1. Windows レジストリとフォレンジック
      2. 基本的な使い方
      3. 注目すべきレジストリキー
    8. ⑧ Timeline Explorer ― 解析結果を統合して時系列で見る
      1. Timeline Explorer とは？
      2. 基本的な使い方
      3. 便利な機能
  5. 🛡️ 実際のインシデント調査での活用シナリオ
    1. シナリオ：ランサムウェア感染の調査
      1. Step 1：初期侵入経路の特定（イベントログ解析）
      2. Step 2：マルウェアの実行確認（Prefetch + Amcache）
      3. Step 3：横展開（ラテラルムーブメント）の追跡（MFT + LNK）
      4. Step 4：データ持ち出しの確認（LNK + USB 接続履歴）
      5. Step 5：タイムライン統合（Timeline Explorer）
  6. ⚡ よくある質問と注意点
    1. Q1: ライブシステムで使えますか？
    2. Q2: セキュリティソフトに検知されますか？
    3. Q3: 商用利用は可能ですか？
    4. Q4: ツールが動かない・エラーが出る場合は？
  7. 📚 学習リソースとコミュニティ
    1. 公式リソース
    2. 学習コンテンツ
    3. コミュニティ
  8. 🎯 まとめ

🧑‍💻 開発者エリック・ジマーマン氏について

ジマーマンツールを理解するうえで、まず開発者のことを知っておくと理解が深まります。

エリック・ジマーマン氏は、長年にわたって FBI のデジタルフォレンジック捜査に携わってきた専門家です。現場での実務経験から生まれたツール群だからこそ、「実際の調査で本当に使えるもの」として設計されています。理論だけでなく、現場の血と汗がにじんでいるのです。

同氏は現在、自身のウェブサイト（https://ericzimmerman.github.io/）および GitHub を通じて、継続的にツールのアップデートを公開しています。コミュニティへの貢献姿勢も非常に高く評価されており、フォレンジックコミュニティの “英雄” 的な存在として知られています。

また、ジマーマン氏は SANS Institute の講師も務めており、フォレンジック教育にも力を入れています。彼のツールは SANS のフォレンジックコースでも公式に使用されています。

📦 ジマーマンツールの全体像

ジマーマンツール（EZ Tools）は、単一のアプリケーションではなく、目的別に特化した複数のツールの集合体です。2024年現在、20 種類以上のツールが公開されています。

大きく分類すると、次のカテゴリに整理できます。

① ファイル実行証跡の解析

Windowsは、どんなプログラムが実行されたかを様々な場所に記録しています。これらを調べることで、「いつ、何が実行されたか」を追跡できます。

ツール名対象アーティファクト概要
PECmdPrefetch ファイルプログラムの実行履歴（.pf ファイル）を解析
AmcacheParserAmcache.hveアプリケーション実行の詳細な痕跡を解析
AppCompatCacheParserShimCache（レジストリ）アプリ互換性キャッシュから実行証跡を抽出

② ファイルアクセス・操作履歴の解析

ファイルを開いたり、移動したり、削除したりした履歴を追跡します。

ツール名対象アーティファクト概要
LECmdLNK ファイル（ショートカット）最近アクセスしたファイルのショートカットを解析
JLECmdジャンプリストタスクバーのジャンプリストから最近使ったファイルを抽出
RBCmdごみ箱（$I ファイル）削除されたファイルの情報を復元
ShellBagsExplorerShellBags（レジストリ）フォルダの閲覧履歴を GUI で可視化

③ ファイルシステムの解析

ツール名対象アーティファクト概要
MFTECmd$MFT（マスターファイルテーブル）NTFS のすべてのファイル情報を解析

④ レジストリ・イベントログ・データベースの解析

ツール名対象アーティファクト概要
RECmdWindows レジストリレジストリハイブを CLI から解析・検索
RegistryExplorerWindows レジストリレジストリを GUI で閲覧・解析
EvtxECmdWindows イベントログ（.evtx）イベントログを CSV などに変換・解析
SQLECmdSQLite データベースブラウザ履歴など SQLite DB を解析
SrumECmdSRUM（システムリソース使用状況）ネットワーク通信量・アプリ使用時間などを解析
WxTCmdWindows タイムライン（ActivitiesCache.db）Windows 10/11 のアクティビティ履歴を解析

⑤ タイムライン分析・ビューワ

ツール名概要
Timeline Explorer各ツールが出力した CSV を読み込み、時系列で統合・フィルタできる GUI ツール
EZViewer各種ファイルをフォレンジック的に閲覧できる汎用ビューワ

⚙️ 導入方法 ― PowerShell で一括インストール

ジマーマンツールの導入は非常に簡単です。公式が提供している PowerShell スクリプト Get-ZimmermanTools.ps1 を使えば、すべてのツールをまとめてダウンロードできます。

Step 1：PowerShell を管理者権限で開く

スタートメニューで「PowerShell」を検索し、右クリックして「管理者として実行」を選択します。

Step 2：実行ポリシーを確認・変更する（必要な場合）

PowerShell スクリプトを実行するには、実行ポリシーが許可されている必要があります。以下のコマンドで確認できます。

Get-ExecutionPolicy

Restricted と表示された場合は、以下のコマンドで変更します（調査環境では許容される設定です）。

Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process

⚠️ 注意
-Scope Process を指定すると、現在の PowerShell セッションだけに適用されます。システム全体の設定は変更されないため、比較的安全です。調査後はウィンドウを閉じれば元に戻ります。

Step 3：スクリプトをダウンロードして実行する

ツールを保存したいフォルダに移動してから、以下のコマンドを実行します。

# ダウンロード先フォルダを作成して移動
New-Item -ItemType Directory -Path C:\EZTools -Force
Set-Location C:\EZTools

# Get-ZimmermanTools スクリプトをダウンロード
Invoke-WebRequest -Uri "https://raw.githubusercontent.com/EricZimmerman/Get-ZimmermanTools/master/Get-ZimmermanTools.ps1" -OutFile Get-ZimmermanTools.ps1

# スクリプトを実行（すべてのツールをダウンロード）
.\Get-ZimmermanTools.ps1 -Dest C:\EZTools

実行すると、各ツールの最新版が自動的にダウンロードされます。完了すると C:\EZTools フォルダ内にすべてのツールが格納されます。

Step 4：.NET 8 ランタイムが必要な場合

ジマーマンツールの多くは .NET 8 を必要とします。実行時に「.NET ランタイムが見つかりません」というエラーが出た場合は、Microsoft の公式サイトから .NET 8 Runtime をインストールしてください。

# winget を使ってインストールする場合
winget install Microsoft.DotNet.Runtime.8

✅ インストール確認
ツールが正常にインストールされているか確認するには、コマンドプロンプトまたは PowerShell で以下を実行します。

C:\EZTools\PECmd.exe

ヘルプメッセージが表示されれば成功です。

🔧 主要ツールの使い方を徹底解説

ここからは、特に使用頻度の高い主要ツールについて、具体的な使い方を解説します。

① PECmd ― Prefetch ファイルの解析

Prefetch ファイルとは？

Windows には「プリフェッチ」という機能があります。これは、よく使うプログラムを素早く起動できるよう、実行情報を事前にキャッシュする仕組みです。この情報が C:\Windows\Prefetch フォルダに .pf という拡張子で保存されます。

フォレンジック的に非常に重要なのは、このファイルに「いつ、何が実行されたか」という情報が残ることです。マルウェアが実行されていても、その痕跡がここに残っている可能性があります。

Prefetch ファイルには以下の情報が含まれます。

  • 実行ファイル名とパス
  • 最後に実行された日時（最大8回分の実行日時）
  • 実行時にアクセスされたファイルやフォルダのリスト
  • 実行回数

基本的な使い方

# 単一の .pf ファイルを解析
PECmd.exe -f "C:\Windows\Prefetch\MALWARE.EXE-ABC12345.pf"

# Prefetch フォルダ全体を解析して CSV に出力
PECmd.exe -d "C:\Windows\Prefetch" --csv "C:\Output" --csvf prefetch_results.csv

# タイムラインも出力する
PECmd.exe -d "C:\Windows\Prefetch" --csv "C:\Output" --csvf prefetch_results.csv --json "C:\Output"

出力例の見方

CSV を出力すると、以下のような列が含まれます。

  • ExecutableName：実行ファイル名
  • RunCount：実行回数（1回だけ実行されたマルウェアを発見しやすい）
  • LastRun：最後の実行日時
  • PreviousRun0〜6：それ以前の実行日時（最大7回分）
  • FilesLoaded：実行時にロードしたファイル一覧

💡 調査のポイント
RunCount = 1 のエントリに注目しましょう。正規のプログラムは何度も実行されますが、マルウェアや攻撃ツールは1回しか実行されないことが多いです。また、実行パスが Temp フォルダや AppData フォルダを指している場合も要注意です。

② LECmd ― LNK ファイル（ショートカット）の解析

LNK ファイルとは？

Windows のショートカットファイル（.lnk）は、単なるファイルへのリンクではありません。その中には、元ファイルのパス、アクセス日時、ファイルサイズ、さらには元のコンピュータ名やボリューム情報までが記録されています。

特に重要なのが C:\Users\ユーザー名\AppData\Roaming\Microsoft\Windows\Recent フォルダです。ここに格納された LNK ファイルは、ユーザーが最近アクセスしたファイルの証跡として機能します。たとえば USBメモリからファイルをコピーした場合、その証跡がここに残ることがあります。

基本的な使い方

# 単一の LNK ファイルを解析
LECmd.exe -f "C:\Users\User\AppData\Roaming\Microsoft\Windows\Recent\document.lnk"

# Recent フォルダ全体を再帰的に解析して CSV 出力
LECmd.exe -d "C:\Users\User\AppData\Roaming\Microsoft\Windows\Recent" --csv "C:\Output" --csvf lnk_results.csv -q

注目すべき出力フィールド

  • TargetCreated：元ファイルの作成日時
  • TargetModified：元ファイルの更新日時
  • TargetAccessed：元ファイルへの最終アクセス日時
  • LocalPath：元ファイルのローカルパス
  • NetworkShareName：ネットワーク共有のパス（外部からのアクセス特定に有効）
  • DriveType：ドライブの種類（Removable＝USB メモリなど）
  • VolumeSerialNumber：ボリュームのシリアル番号（特定の USB を識別できる）

💡 調査のポイント
DriveType = Removable のエントリを探すことで、USB メモリ経由でのファイルアクセスを特定できます。VolumeSerialNumber を使えば、どの USB メモリが使われたかを追跡することも可能です。

③ JLECmd ― ジャンプリストの解析

ジャンプリストとは？

Windows のタスクバーでアプリアイコンを右クリックすると表示される「最近使ったファイル」リスト、それがジャンプリストです。この情報は C:\Users\ユーザー名\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations および CustomDestinations に格納されています。

ジャンプリストのフォレンジック的な価値は高く、アプリケーションが削除された後でも、そのアプリで開いていたファイルの記録が残ることがあります。

基本的な使い方

# AutomaticDestinations フォルダを解析
JLECmd.exe -d "C:\Users\User\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations" --csv "C:\Output" --csvf jumplists.csv

# 詳細モードで解析（含まれる LNK エントリも展開）
JLECmd.exe -d "C:\Users\User\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations" --csv "C:\Output" --csvf jumplists.csv -q

④ MFTECmd ― マスターファイルテーブルの解析

MFT（$MFT）とは？

NTFS ファイルシステムのコアとなるデータベースが MFT（Master File Table）です。NTFS ボリューム上のすべてのファイルとフォルダの情報（ファイル名、サイズ、タイムスタンプ、属性など）がここに記録されています。

削除されたファイルも、MFT のエントリがすぐに上書きされるわけではないため、MFT を解析することで削除されたファイルの存在を確認できることがあります。

$MFT は通常のエクスプローラーからは見えない隠しシステムファイルですが、フォレンジックイメージから抽出することで解析可能になります。

基本的な使い方

# $MFT ファイルを解析して CSV に出力
MFTECmd.exe -f "C:\Evidence\$MFT" --csv "C:\Output" --csvf mft_results.csv

# $Boot も同時に解析する場合
MFTECmd.exe -f "C:\Evidence\$MFT" --csv "C:\Output" --csvf mft_results.csv --de 0-1

# フルパスでフィルタリング（特定フォルダ配下のみ）
MFTECmd.exe -f "C:\Evidence\$MFT" --csv "C:\Output" --csvf mft_results.csv --de 0

タイムスタンプに関する重要な知識：MACB

MFT 解析では「MACB タイムスタンプ」という概念が重要です。

文字意味説明
MModifiedファイルの内容が最後に変更された日時
AAccessedファイルが最後にアクセスされた日時
CChanged（MFT Entry Modified）MFT エントリ自体が変更された日時
BBorn（Created）ファイルが作成された日時

⚠️ タイムスタンプ偽装（Timestomping）に注意
攻撃者はタイムスタンプを意図的に書き換えることがあります（Timestomping）。MFT には「$STANDARD_INFORMATION」と「$FILE_NAME」という2つの属性にタイムスタンプが存在し、通常ツールで見えるのは前者です。両者を比較することで偽装を検出できることがあります。MFTECmd はこの両方を出力できます。

⑤ EvtxECmd ― Windows イベントログの解析

Windows イベントログとは？

Windows は、システムの動作状況をイベントログとして記録し続けています。セキュリティログ、システムログ、アプリケーションログなど複数の種類があり、ログイン成功・失敗、サービスの起動・停止、ポリシー変更など膨大な情報が蓄積されます。

これらは C:\Windows\System32\winevt\Logs フォルダに .evtx 形式で保存されています。

基本的な使い方

# 単一のイベントログを解析して CSV 出力
EvtxECmd.exe -f "C:\Windows\System32\winevt\Logs\Security.evtx" --csv "C:\Output" --csvf security_log.csv

# ログフォルダ全体を解析
EvtxECmd.exe -d "C:\Windows\System32\winevt\Logs" --csv "C:\Output" --csvf all_logs.csv

# マップファイルを使って解析（推奨）
EvtxECmd.exe -d "C:\Windows\System32\winevt\Logs" --csv "C:\Output" --csvf all_logs.csv --maps "C:\EZTools\EvtxECmd\Maps"

マップ（Maps）機能について

EvtxECmd の強力な機能が「マップ」です。マップとは、イベント ID とその意味を対応させた設定ファイルで、コミュニティが継続的に更新しています。マップを使うことで、単なるイベント ID の羅列を、意味のある情報として整理した CSV が出力されます。

セキュリティ調査で重要なイベント ID

イベント ID意味
4624ログオン成功
4625ログオン失敗
4648明示的な資格情報を使ったログオン（Pass-the-Hash 検出に利用）
4688プロセス作成（コマンドライン引数も記録される場合あり）
4720ユーザーアカウント作成
7045新しいサービスのインストール

⑥ AmcacheParser ― アプリ実行痕跡の深掘り解析

Amcache とは？

Windows 8 以降に導入された Amcache.hve は、実行されたプログラムの詳細情報を記録するハイブファイルです（C:\Windows\AppCompat\Programs\Amcache.hve に格納）。Prefetch と補完関係にある重要なアーティファクトです。

Amcache の特徴は、プログラムのファイルハッシュ値（SHA1）が記録されることです。これにより、既知のマルウェアハッシュとの照合が可能になります。

基本的な使い方

# Amcache.hve を解析して CSV 出力
AmcacheParser.exe -f "C:\Windows\AppCompat\Programs\Amcache.hve" --csv "C:\Output" --csvf amcache.csv

# 既知の正常なファイルを除外してホワイトリストと比較
AmcacheParser.exe -f "C:\Windows\AppCompat\Programs\Amcache.hve" --csv "C:\Output" --csvf amcache.csv -w "C:\Whitelists\good_hashes.txt"

⑦ RECmd ― レジストリの詳細解析

Windows レジストリとフォレンジック

Windows レジストリは、OS やアプリケーションの設定情報を格納する階層型データベースです。フォレンジックの観点からは、ユーザーアクティビティ、自動実行設定、USB 接続履歴、ネットワーク接続履歴など、膨大な証跡情報が含まれます。

基本的な使い方

# SYSTEM ハイブを解析してバッチモードで出力
RECmd.exe -f "C:\Evidence\SYSTEM" --bn "C:\EZTools\RECmd\BatchExamples\Kroll_Batch.reb" --csv "C:\Output"

# NTUSER.DAT（ユーザーハイブ）を解析
RECmd.exe -f "C:\Users\User\NTUSER.DAT" --bn "C:\EZTools\RECmd\BatchExamples\Kroll_Batch.reb" --csv "C:\Output"

# すべてのハイブをまとめて解析
RECmd.exe -d "C:\Evidence\Hives" --bn "C:\EZTools\RECmd\BatchExamples\Kroll_Batch.reb" --csv "C:\Output"

注目すべきレジストリキー

レジストリキー格納情報
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Runログイン時の自動実行プログラム（マルウェアの永続化に悪用）
HKLM\SYSTEM\CurrentControlSet\Enum\USBSTOR接続されたUSBストレージデバイスの一覧
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs最近使ったファイル（カテゴリ別）
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\RunMRU[ファイル名を指定して実行] の履歴

⑧ Timeline Explorer ― 解析結果を統合して時系列で見る

Timeline Explorer とは？

Timeline Explorer は、各ツールが出力した CSV ファイルを読み込み、時系列でフィルタリング・検索・可視化できる GUI ツールです。インシデント調査において、複数のアーティファクトを横断的に分析する際に絶大な効果を発揮します。

基本的な使い方

  1. TimelineExplorer.exe を実行
  2. メニューの「File → Open」から CSV ファイルを選択（複数ファイル同時読み込み可能）
  3. 上部の検索バーでキーワード検索
  4. 列ヘッダーをクリックしてソート
  5. 右クリックメニューからフィルタや色付けが可能

便利な機能

  • Super Timeline 対応：log2timeline/plaso で生成したタイムラインとの統合
  • 色付けルール：特定のキーワードを含む行を色分け表示（例：マルウェア名、攻撃者のIPアドレスなど）
  • 時間範囲フィルタ：インシデント発生時刻前後に絞り込み
  • 大容量ファイル対応：数百万行のCSVでも高速に動作

✅ 実践的なワークフロー例
1. PECmd でプリフェッチを解析 → CSV 出力
2. LECmd で LNK ファイルを解析 → CSV 出力
3. EvtxECmd でイベントログを解析 → CSV 出力
4. Timeline Explorer で上記をすべて読み込み
5. インシデント発生時刻でフィルタ
6. 「攻撃者が何を実行し、何にアクセスしたか」を時系列で追跡

🛡️ 実際のインシデント調査での活用シナリオ

シナリオ：ランサムウェア感染の調査

あるシステムがランサムウェアに感染したとします。「いつ、どのように侵入されたか」を調査する場合の流れを見てみましょう。

Step 1：初期侵入経路の特定（イベントログ解析）

EvtxECmd を使って Security.evtx を解析し、感染前後のログイン成功・失敗ログ（EventID 4624/4625）を確認。外部からの RDP 接続や、不審なサービスアカウントのログインがないかチェックします。

Step 2：マルウェアの実行確認（Prefetch + Amcache）

PECmd と AmcacheParser を使い、ランサムウェア本体が最初に実行された日時を特定。SHA1 ハッシュで VirusTotal との照合も行います。

Step 3：横展開（ラテラルムーブメント）の追跡（MFT + LNK）

MFTECmd で怪しいファイルの作成・削除タイムラインを把握。LECmd で攻撃者がアクセスしたファイルを確認します。

Step 4：データ持ち出しの確認（LNK + USB 接続履歴）

LECmd で USB デバイスへのアクセス痕跡を確認。RECmd でレジストリの USBSTOR キーからデバイス接続履歴を抽出します。

Step 5：タイムライン統合（Timeline Explorer）

すべての解析結果を Timeline Explorer に読み込み、感染から暗号化完了までの一連のアクティビティを時系列で可視化します。

⚡ よくある質問と注意点

Q1: ライブシステムで使えますか？

はい、使えます。ただし、フォレンジックの原則として、可能な限りフォレンジックイメージ（ディスクコピー）に対して解析を行うことが推奨されます。ライブシステムで操作すると、タイムスタンプが書き換わるなど証跡が汚染される可能性があります。

Q2: セキュリティソフトに検知されますか？

ジマーマンツールはフォレンジックツールであるため、一部のセキュリティソフトが誤検知することがあります。調査環境では、ツール格納フォルダを除外設定に追加するか、セキュリティソフトを一時的に無効化する対応が必要な場合があります。

Q3: 商用利用は可能ですか？

ジマーマンツールは個人・商用を問わず無料で利用可能ですが、使用条件については公式サイトのライセンス情報を必ず確認してください。ジマーマン氏は寄付（Patreon 等）を受け付けており、ツールの継続的な開発を支援することができます。

Q4: ツールが動かない・エラーが出る場合は？

  • .NET 8 Runtime がインストールされているか確認
  • 管理者権限で実行しているか確認
  • Get-ZimmermanTools.ps1 を再実行して最新版に更新
  • エラーメッセージを Google 検索または GitHub Issues で確認

📚 学習リソースとコミュニティ

ジマーマンツールを深く学ぶためのリソースを紹介します。

公式リソース

  • Eric Zimmerman’s GitHub：https://ericzimmerman.github.io/ ― 全ツールのダウンロードと更新情報
  • GitHub ドキュメント：各ツールの詳細な使い方が記載

学習コンテンツ

  • SANS FOR500/FOR508：ジマーマン氏が講師を務める SANS のフォレンジックコース。ツールを使った実践的な演習が含まれます。
  • 13Cubed（YouTube）：ジマーマンツールを使ったフォレンジック解説動画が多数公開されています。英語ですが非常にわかりやすいと評判です。
  • AboutDFIR：DFIR 関連のリソースをまとめたサイトで、ジマーマンツールの解説も豊富です。

コミュニティ

  • DFIR.Training：フォレンジックトレーニングリソースのデータベース
  • Digital Forensics Discord：英語ですが質問しやすい雰囲気のコミュニティ

🎯 まとめ

ジマーマンツール（EZ Tools）は、Windows フォレンジックにおけるデファクトスタンダードと言っても過言ではありません。無料でありながら、商用ツールと肩を並べる（あるいは超える）機能を持ち、継続的にアップデートされています。

この記事で解説した内容を振り返ります。

  • 🔵 PECmd：プリフェッチから実行履歴を解析
  • 🔵 LECmd：LNK ファイルからファイルアクセス履歴を解析
  • 🔵 JLECmd：ジャンプリストからアプリ使用履歴を解析
  • 🔵 MFTECmd：MFT からファイルシステム全体を解析
  • 🔵 EvtxECmd：イベントログを CSV 化して解析
  • 🔵 AmcacheParser：ハッシュ付きでアプリ実行痕跡を解析
  • 🔵 RECmd / RegistryExplorer：レジストリを深掘り解析
  • 🔵 Timeline Explorer：すべての解析結果を時系列で統合

デジタルフォレンジックは、一見難しそうに見えますが、ツールの使い方と「何を探すか」のロジックを理解すれば、着実にスキルを伸ばせます。ジマーマンツールは、そのスタート地点として最適な選択肢のひとつです。

ぜひ、仮想マシン環境や CTF の問題などで実際に手を動かしてみてください。「解析できた！」という体験が、最大のモチベーションになるはずです。

🔐 最後に一言
フォレンジックツールは、正しい目的（調査・研究・学習）のために使用してください。自分が管理・許可を受けていないシステムへの無断適用は、不正アクセスとなり法律に触れる可能性があります。常に倫理的・合法的な範囲での活用を心がけましょう。

本記事の情報は執筆時点（2024年）のものです。ツールは継続的に更新されるため、最新情報は公式 GitHub（https://ericzimmerman.github.io/）をご確認ください。

コメント