令和5年度 秋期 エンベデッドシステムスペシャリスト試験 午前II 問16
この問題は2023(R5)秋 エンベデッドシステムスペシャリスト 午前IIに出題されたものです。出題時点の法令・制度に基づく内容のため、現行の内容と一致しない場合があります。
本ページの問題文・選択肢は、原本の体裁を Web 表示用に正規化しています（改行・記号・数式・図表参照の調整）。設問の趣旨および正解に影響する変更は加えていません。
外部から侵入されたサーバ及びそのサーバに接続されていた記憶媒体を調査対象としてデジタルフォレンジックスを行うことになった。このとき，稼働状態にある調査対象のサーバ，記憶媒体などから表に示す a 〜 d を証拠として保全する。保全の順序のうち，揮発性の観点から最も適切なものはどれか。
図の説明テキスト
| 証拠として保全するもの | |
|---|---|
| a | 遠隔にあるログサーバに記録された調査対象サーバのアクセスログ |
| b | 調査対象サーバにインストールされていた会計ソフトのインストール用 CD |
| c | 調査対象サーバのハードディスク上の表計算ファイル |
| d | 調査対象サーバのルーティングテーブルの状態 |
解答・解説を読む
正解: 選択肢エ
デジタルフォレンジックスにおける証拠保全では、揮発性が高い（変化しやすい、または電源断で消失しやすい）データから優先して収集・保全するという原則があります。これは、RFC 3227（デジタル証拠の収集とアーカイブのためのガイドライン）などでも推奨されています。
一般的な揮発性の高い順（保全の優先順位）は以下の通りです。
- CPUレジスタ、キャッシュメモリ（選択肢の構成から d と推測）
- メインメモリ、ルーティングテーブル、ARPキャッシュ（選択肢の構成から c と推測）
- テンポラリファイルシステム、スワップ領域（選択肢の構成から a と推測）
- ハードディスクなどの記憶媒体（選択肢の構成から b と推測）
この原則に従うと、最も揮発性の高い「d」から始まり、順に「c」「a」、最後に最も揮発性の低い「b」を保全する「d → c → a → b」の順序が適切です。
各選択肢の解説
- ア (a → c → d → b): 揮発性の低いテンポラリファイルなどを、より揮発性の高いメモリやレジスタよりも先に保全しているため誤りです。
- イ (b → c → a → d): 揮発性が最も低い記憶媒体から保全を始めており、メモリやレジスタのデータが消失・変化するリスクがあるため誤りです。
- ウ (c → a → d → b): メインメモリなどを保全した後、レジスタよりも先にテンポラリファイルを保全しており、順序が不適切です。
- エ (d → c → a → b): 揮発性が高いものから順番に保全を行っており、正解です。