情報処理安全確保支援士試験 令和7年度 春期 午前II 問15

【正解】ア

デジタルフォレンジックスでは、電源断によって失われやすい情報から順に保全するという「揮発性の高いものを優先する」原則があります。動的に追加されたルーティングテーブルは、通信の転送先を決めるためにメモリ上で管理されており、再起動や電源断によって消失又は変化する可能性が高い情報です。既にARPキャッシュを取得した後であれば、同様に揮発性の高いルーティングテーブルを続けて取得するのが適切なので、アが正解です。

イの増設HDD上のテキストファイルは誤りです。重要な証拠になり得ますが、補助記憶装置に保存されているため、通常は電源を切っても内容が残ります。揮発性情報を取得した後に、ディスクイメージなどとして保全します。

ウのVPNサーバ内のログは誤りです。これは調査対象PCとは別のサーバに保存された情報であり、PCの電源断によって直ちに消失するものではありません。必要に応じてサーバ側でも改変防止措置を講じて取得します。

エのシステムログファイルは誤りです。調査対象PC上の重要な証拠ですが、通常はHDDやSSDなどの不揮発性記憶装置に記録されています。そのため、メモリ上だけに存在する動的な情報よりも保全の優先順位は低くなります。

【ポイント】 証拠保全は、レジスタやメモリ、通信状態、ディスク上の情報というように揮発性を考慮します。 実行中プロセス、通信接続、ARPキャッシュ、ルーティングテーブルなどは電源断前に取得します。 取得日時、取得手順、ハッシュ値も記録し、証拠の同一性と取扱いの履歴を示せるようにします。