プロジェクトマネージャ試験 令和7年度 秋期 午前II 問25

【正解】エ

デジタルフォレンジックスでは、時間の経過や電源断によって失われやすい証拠から順に保全します。dのルーティングテーブルは稼働中のメモリ上にある情報であり、通信状況の変化、再起動、電源断などで容易に変化又は消失するため、最初に取得します。次に、調査対象サーバのディスク上にあるcの表計算ファイルを取得します。稼働中のサーバでは、利用者、アプリケーション、攻撃者の操作によってファイルの内容や更新日時などのメタデータが変わり得るため、別のサーバに記録済みのログより先に保全します。その後、別のログサーバに記録されていて比較的安定しているaのアクセスログを保全し、最後に内容が変化しないbのインストール用CDを保全します。したがって、d→c→a→bとなるエが正解です。

アのa→c→d→bは誤りです。比較的安定した遠隔ログを先に扱い、最も揮発性が高いルーティングテーブルを後回しにしています。

イのb→c→a→dは誤りです。書換え不能なCDを最初に保全する一方、消失しやすいルーティングテーブルを最後にしています。

ウのc→a→d→bは誤りです。ハードディスク上のファイルや遠隔ログよりも、稼働中のルーティングテーブルを先に取得する必要があります。

【ポイント】 証拠保全の基本は、メモリ上の動的情報、更新され得るディスク情報、遠隔ログ、固定媒体という順序です。 稼働中の情報を取得する前に電源を切ると、重要な証拠が失われる可能性があります。 取得日時、作業者、手順を記録し、複製後のハッシュ値を確認して証拠の同一性を示すことも重要です。