情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和3年度秋期 午前Ⅱ 問12: 外部から侵入されたサーバ及びそのサーバに接続されていた記憶媒体を調査対象としてディジタルフォレンジックスを行うことになった。このとき，稼働状態にある調査対象のサ

問題本文

外部から侵入されたサーバ及びそのサーバに接続されていた記憶媒体を調査対象としてディジタルフォレンジックスを行うことになった。このとき，稼働状態にある調査対象のサーバ，記憶媒体などから表に示す a〜d を証拠として保全する。保全の順序のうち，揮発性の観点から最も適切なものはどれか。

選択肢

• ア.a → c → d → b
• イ.b → c → a → d
• ウ.c → a → d → b
• エ.d → c → a → b

正解

エ. d → c → a → b

解説

フォレンジックでは消えやすい証拠から先に保全するのが原則。揮発性が最も高いのはメモリ上のルーティングテーブルdで、次に電源断やファイル操作で失われ得るハードディスク上のファイルc、遠隔ログサーバのログa、最も安定したインストールCDbの順となる。よってd→c→a→bのエが正しい。順序を誤ると重要証拠を失うため実務で重視される。

選択肢ごとの解説

• ア.最も揮発性の高いルーティングテーブルdを後回しにしており、保全順序の原則に反するため誤り。
• イ.最も安定したCDbから始めており、揮発性の高いものを先に取る原則に反するため誤り。
• ウ.メモリ上のdより先にディスク上のcを取っており、揮発性の順序が逆転しているため誤り。
• エ.揮発性の高い順にd→c→a→bで保全しており、フォレンジックの原則に合致し正解。