情報処理安全確保支援士試験 令和3年度 秋期 午前II 問12

【正解】エ

ディジタルフォレンジックスでは、電源断や時間の経過、調査操作によって失われやすい情報から先に保全します。dのルーティングテーブルの状態は主にメモリ上にあり、通信状況や設定変更によって変化し、停止すれば現在の状態が失われるため最優先です。次に、稼働中のシステムやマルウェアによって更新され得るcのハードディスク上の表計算ファイルを保全します。aのアクセスログは遠隔のログサーバに記録されているため、調査対象サーバの停止による影響を受けにくい情報です。bのインストール用CDは通常、書換え不能な媒体であり、最も変化しにくいため最後です。したがって、d→c→a→bとなります。

アのa→c→d→bは誤りです。揮発性の高いdを、遠隔ログやディスク上のファイルより後にしているためです。

イのb→c→a→dは誤りです。最も変化しにくいCDを最初にし、最も失われやすいルーティングテーブルを最後にしています。

ウのc→a→d→bは誤りです。ディスク上のファイルや遠隔ログよりも、メモリ上のdを先に保全する必要があります。

【ポイント】 証拠保全では、揮発性の高い情報から低い情報へという順序が原則です。 一般に、メモリ上の情報、ローカルディスク、遠隔ログ、書換え不能な保存媒体の順に失われにくくなります。 取得日時、取得者、取得方法、ハッシュ値も記録し、証拠の同一性と取扱いの連続性を確保します。