情報処理安全確保支援士試験 令和5年度 春期 午前II 問13

【正解】ア

デジタルフォレンジックスでは、消失・変化しやすい情報から先に取得する「揮発性の順序」が重要です。動的に追加されたルーティングテーブルは主にメモリ上で管理され、通信や設定変更によって内容が変わるほか、電源を切ると失われる可能性があります。したがって、同様に揮発性が高いARPキャッシュを取得した後は、アを優先して保全します。取得時刻や使用したコマンドも記録し、証拠の真正性を説明できるようにします。

イの増設HDD内のテキストファイルは誤りです。HDD上のファイルは不揮発性であり、電源を切っても通常は消えません。書込みを防止した上でディスクイメージを取得し、後から調査できます。

ウのVPNサーバ内のログは誤りです。これは調査対象PCの外部にある情報であり、そのPCの電源を切っても直ちには失われません。サーバ側のログ保存期間には注意が必要ですが、現時点での優先度は低くなります。

エのシステムログファイルは誤りです。内容が更新される可能性はあるものの、通常はHDDやSSDに記録された不揮発性情報なので、メモリ上の動的な情報より後に保全します。

【ポイント】 一般に、CPUやメモリの状態、通信状態、ARPキャッシュ、ルーティング情報、ディスク上のファイルという順に揮発性が低くなります。 証拠保全では、内容だけでなく取得日時、取得者、手順、ハッシュ値なども記録し、証拠の連続性を確保します。