令和7年度 秋期 プロジェクトマネージャ試験 午前II 問25
テクノロジセキュリティ技術セキュリティ管理脆弱性管理・セキュリティ監視インシデント対応・CSIRT・フォレンジックス
外部から侵入されたサーバ及びそのサーバに接続されていた記憶媒体を調査対象としてデジタルフォレンジックスを行うことになった。そのために，表に示すa〜dを証拠として保全することにした。保全の順序のうち，揮発性の観点から，最も適切なものはどれか。
図の説明テキスト
| 証拠として保全するもの | |
|---|---|
| a | 遠隔にあるログサーバに記録された調査対象サーバのアクセスログ |
| b | 調査対象サーバにインストールされていた会計ソフトのインストール用CD |
| c | 調査対象サーバのハードディスク上の表計算ファイル |
| d | 調査対象サーバのルーティングテーブルの状態 |
解答・解説
正解: エ. d → c → a → b
デジタルフォレンジックスとは
デジタルフォレンジックスとは、不正アクセスなどのインシデントが発生した際に、原因究明や証拠を保全・調査するため、デジタル機器からデータを収集・分析する手順のことです。証拠保全においては、電源を切断したり時間が経過したりするとデータが失われる「揮発性」の高い情報から優先して収集することが原則となります。
正解の根拠
証拠保全を行う際は、揮発性の高い（失われやすい）情報から順に保全を行います。提示されたa〜dの証拠を、揮発性の高い順に評価します。
d（調査対象サーバのルーティングテーブルの状態）
メモリ上に保持されており、システムの再起動や電源断によって最も失われやすいため、最優先で保全します。c（調査対象サーバのハードディスク上の表計算ファイル）
ハードディスク上のデータは電源を切っても保持されますが、システムの稼働を続けることで上書きや改ざんされる可能性があるため、メモリ上の情報の次に保全します。a（遠隔にあるログサーバに記録された調査対象サーバのアクセスログ）
遠隔のログサーバに記録されているため、調査対象サーバ本体の操作によって直ちに失われる危険性は低く、ハードディスクの保全後に取得します。b（調査対象サーバにインストールされていた会計ソフトのインストール用CD）
CDは読み取り専用の物理媒体であり、内容が消失したり変化したりする可能性がないため、保全の優先度は最も低くなります。
したがって、保全の順序として最も適切なものは「d → c → a → b」となります。
各選択肢の解説
ア: 「a → c → d → b」は、最も揮発性の高いd（ルーティングテーブルの状態）の保全が後回しになっているため誤りです。
イ: 「b → c → a → d」は、揮発性のないb（インストール用CD）が最優先されており、最も揮発性の高いdが最後になっているため誤りです。
ウ: 「c → a → d → b」は、ハードディスク上のcを先に保全しており、メモリ上にあるdの保全が後回しになっているため誤りです。
エ: 正解です。「d → c → a → b」の順序は、揮発性の観点から最も適切な保全の順序です。