令和3年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問題 問12
テクノロジセキュリティ技術セキュリティ管理脆弱性管理・セキュリティ監視インシデント対応・CSIRT・フォレンジックス
外部から侵入されたサーバ及びそのサーバに接続されていた記憶媒体を調査対象としてディジタルフォレンジックスを行うことになった。このとき，稼働状態にある調査対象のサーバ，記憶媒体などから表に示す a〜d を証拠として保全する。保全の順序のうち，揮発性の観点から最も適切なものはどれか。
図の説明テキスト
| 証拠として保全するもの | |
|---|---|
| a | 遠隔にあるログサーバに記録された調査対象サーバのアクセスログ |
| b | 調査対象サーバにインストールされていた会計ソフトのインストール用 CD |
| c | 調査対象サーバのハードディスク上の表計算ファイル |
| d | 調査対象サーバのルーティングテーブルの状態 |
解答・解説
正解: エ. d → c → a → b
ディジタルフォレンジックスにおける証拠保全の原則は、揮発性の高い（消失しやすい）データから順に保全することです。稼働中のシステムでは、電源を切断したり時間が経過したりするだけで失われてしまう情報があるため、これらを最優先で確保する必要があります。
表に示された各データを揮発性の高い順（消失しやすい順）に評価します。
d 調査対象サーバのルーティングテーブルの状態
ルーティングテーブルはサーバのメインメモリ（RAM）上に保持されており、電源を切断したり再起動したりすると直ちに失われます。また、稼働中であっても通信状況の変化によって内容が書き換わる可能性があるため、最も揮発性が高く、最初に保全する必要があります。c 調査対象サーバのハードディスク上の表計算ファイル
ハードディスク上のデータは電源を切断しても失われません。しかし、サーバが稼働した状態のまま放置すると、OSや他のプログラムの動作、あるいは侵入者の操作によってデータが上書きされたり削除されたりするリスクがあるため、メモリ上のデータの次に保全します。a 遠隔にあるログサーバに記録された調査対象サーバのアクセスログ
遠隔のログサーバに保存されているため、調査対象サーバ自体の電源を切断しても直ちに失われることはありません。ただし、ログサーバ側の設定（ログのローテーションなど）によって一定期間後に消去される可能性があるため、ローカル機器のデータ保全が完了した後に確保します。b 調査対象サーバにインストールされていた会計ソフトのインストール用 CD
CD（CD-ROM等）は読み取り専用の記録媒体であり、システムが稼働したままでも電源を切断しても、内容が書き換えられたり消失したりすることはありません。したがって揮発性は最も低く、保全の優先順位は一番最後になります。
以上より、揮発性の高い順（適切な保全の順序）は d → c → a → b となります。
各選択肢の解説
- ア (
a → c → d → b) : 揮発性が最も高いメモリ上のルーティングテーブル（d）や、ローカルのハードディスクのデータ（c）よりも、遠隔のログ（a）を優先して保全しているため誤りです。 - イ (
b → c → a → d) : 揮発性が最も低く消失の恐れがないインストール用 CD（b）を最初に保全しているため誤りです。 - ウ (
c → a → d → b) : 揮発性が最も高いメモリ上のルーティングテーブル（d）よりも、ハードディスクのデータ（c）や遠隔のログ（a）を優先して保全しているため誤りです。 - エ (
d → c → a → b) : 正解です。 揮発性の高いデータから順に正しく並べられています。