情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和5年度春期 午前Ⅱ 問13: マルウェア感染の調査対象の PC に対して，電源を切る前に全ての証拠保全を行いたい。ARP キャッシュを取得した後に保全すべき情報のうち，最も優先して保全すべき

正解

ア. 調査対象の PC で動的に追加されたルーティングテーブル

正答率 100.0%（1人中 1人が正解）

問題の解説

証拠保全は揮発性の高い情報から順に行うのが原則(揮発性の順序)。電源を切ると消えるメモリ上の情報が最優先で、ARPキャッシュの次に保全すべきは同じく揮発性の高い動的に追加されたルーティングテーブルである。HDD上のファイルやログ、別サーバのログは電源断後も残るため優先度は下がる。よってアが正解。実務では電源断前にメモリ・ネットワーク状態を先に取得し、後で不揮発媒体を保全する。

選択肢ごとの解説

• ア動的なルーティングテーブルはメモリ上の揮発情報で電源断で消えるため最優先で保全すべきで正しい。
• イHDD上のテキストファイルは不揮発で電源断後も残るため、揮発情報より優先度は低く誤り。
• ウVPNサーバ内のログは別機器に残る不揮発情報で、対象PCの揮発情報より優先度は低く誤り。
• エシステムログファイルはディスクに保存され電源断後も残るため、揮発情報より後でよく誤り。