令和5年度 秋期 エンベデッドシステムスペシャリスト試験 午前II 問16
テクノロジセキュリティ技術セキュリティ管理脆弱性管理・セキュリティ監視インシデント対応・CSIRT・フォレンジックス
外部から侵入されたサーバ及びそのサーバに接続されていた記憶媒体を調査対象としてデジタルフォレンジックスを行うことになった。このとき，稼働状態にある調査対象のサーバ，記憶媒体などから表に示す a 〜 d を証拠として保全する。保全の順序のうち，揮発性の観点から最も適切なものはどれか。
図の説明テキスト
| 証拠として保全するもの | |
|---|---|
| a | 遠隔にあるログサーバに記録された調査対象サーバのアクセスログ |
| b | 調査対象サーバにインストールされていた会計ソフトのインストール用 CD |
| c | 調査対象サーバのハードディスク上の表計算ファイル |
| d | 調査対象サーバのルーティングテーブルの状態 |
解答・解説
正解: エ. d → c → a → b
デジタルフォレンジックスにおける証拠保全では、揮発性が高い（変化しやすい、または電源断で消失しやすい）データから優先して収集・保全するという原則があります。これは、RFC 3227（デジタル証拠の収集とアーカイブのためのガイドライン）などでも推奨されています。
RFC 3227 が示す揮発性の高い順（保全の優先順位）に表の a〜d を当てはめると、以下の通りです。
- ルーティングテーブルなどのメモリ上の情報（d 調査対象サーバのルーティングテーブルの状態）
- ハードディスク上のデータ（c 調査対象サーバのハードディスク上の表計算ファイル）
- 遠隔のログサーバに記録されたログ（a 遠隔にあるログサーバに記録された調査対象サーバのアクセスログ）
- 保管用の媒体（b 調査対象サーバにインストールされていた会計ソフトのインストール用 CD）
この原則に従うと、最も揮発性の高い「d」から始まり、順に「c」「a」、最後に最も揮発性の低い「b」を保全する「d → c → a → b」の順序が適切です。
各選択肢の解説
- ア (a → c → d → b): 遠隔のログ（a）やハードディスク上のファイル（c）を、より揮発性の高いルーティングテーブルの状態（d）よりも先に保全しているため誤りです。
- イ (b → c → a → d): 揮発性が最も低いインストール用 CD（b）から保全を始め、最も揮発性の高いルーティングテーブルの状態（d）が最後になっているため誤りです。
- ウ (c → a → d → b): ハードディスク上のファイル（c）や遠隔のログ（a）を、より揮発性の高いルーティングテーブルの状態（d）よりも先に保全しており、順序が不適切です。
- エ (d → c → a → b): 揮発性が高いものから順番に保全を行っており、正解です。