情報セキュリティマネジメント試験 令和5年度 公開問題 問3

【正解】ウ

デジタルフォレンジックスは、情報セキュリティインシデントやコンピュータ犯罪が起きたときに、PC、サーバ、スマートフォン、通信ログなどに残るデジタルデータを収集、保全、調査及び分析する活動です。削除ファイルの復元や操作履歴の解析などによって、何が、いつ、どのように起きたかを明らかにします。裁判や社内処分で証拠として扱えるよう、取得方法や保管手順を記録し、データが改変されていないことも示す必要があります。したがって、ウが正解です。

アの脅威情報を標準形式で記述し、対策機器などに提供する説明は誤りです。これは、サイバー脅威インテリジェンスの共有や自動連携に関するものです。代表的には、脅威情報の記述形式であるSTIXと、その情報を交換するための通信手順であるTAXIIが用いられます。

イの添付された実行ファイルの振る舞いを保存前に調べる説明は誤りです。これは、外部から隔離した仮想環境で疑わしいファイルを実行するサンドボックスによる動的解析です。マルウェアの侵入防止を目的とする事前対策であり、事故後の証拠調査ではありません。

エの内部ネットワークの通信を暗号化する説明は誤りです。これは、VPN、IPsec、TLSなどを利用した通信の暗号化に関する対策です。盗聴されても内容を読み取られにくくする予防策であり、証拠を収集、保全及び分析する活動ではありません。

【ポイント】 フォレンジックスでは、証拠の収集だけでなく、改ざんを防ぐ保全と分析が重要です。 原本を直接操作せず、複製を解析し、ハッシュ値などで同一性を確認します。 誰がいつ証拠を扱ったかを連続して記録する考え方を、証拠保全の連鎖といいます。