令和3年度 秋期 エンベデッドシステムスペシャリスト試験 午前Ⅱ 問17
テクノロジ／セキュリティ外部から侵入されたサーバ及びそのサーバに接続されていた記憶媒体を調査対象としてディジタルフォレンジックスを行うことになった。このとき，稼働状態にある調査対象のサーバ，記憶媒体などから表に示す a ～ d を証拠として保全する。保全の順序のうち，揮発性の観点から最も適切なものはどれか。 証拠として保全するもの a：遠隔にあるログサーバに記録された調査対象サーバのアクセスログ b：調査対象サーバにインストールされていた会計ソフトのインストール用 CD c：調査対象サーバのハードディスク上の表計算ファイル d：調査対象サーバのルーティングテーブルの状態 （注：本サイトでは原問題の表を文字表記に変換しています）
出典：令和3年度 秋期 エンベデッドシステムスペシャリスト試験 午前Ⅱ 問17
- アa → c → d → b
- イb → c → a → d
- ウc → a → d → b
- エd → c → a → b
正解：エ
解説
ディジタルフォレンジックスにおける証拠保全では，揮発性が高く消失・変化しやすい情報から優先的に保全することが原則です。設問の d（稼働中のサーバのルーティングテーブルの状態）はメモリ上にあり常に変化し得るため最も揮発性が高く，次に c（ハードディスク上の表計算ファイル）は稼働中のシステム上にあり書き換えや削除のおそれがあります。a（遠隔のログサーバに既に記録されたアクセスログ）は，調査対象サーバとは別の場所に既に保存されており，比較的安定していますが，ログのローテーションなどで上書きされる可能性は残ります。b（インストール用 CD）は物理メディアであり内容が変化するおそれがほとんどなく，最も揮発性が低いため最後に保全します。したがって，揮発性の高い順に d → c → a → b の順序で保全するのが適切です。
選択肢ごとの解説
- ア誤り。a（遠隔ログサーバのログ）を最初に保全していますが，a よりも揮発性の高い d（ルーティングテーブルの状態）や c（ローカルディスクのファイル）を先に保全すべきであり，順序が揮発性の観点から適切ではありません。
- イ誤り。b（インストール用 CD）を最初に保全していますが，b は揮発性が最も低く，本来は最後に保全すべきものであるため，順序が揮発性の観点から適切ではありません。
- ウ誤り。c を最初に保全していますが，c よりも揮発性が高い d（稼働中のルーティングテーブルの状態）を先に保全すべきであり，順序が揮発性の観点から適切ではありません。
- エ正しい。揮発性が最も高いルーティングテーブルの状態（d）を最初に保全し，続いてローカルディスク上のファイル（c），遠隔に記録されたログ（a），最後に揮発性の低いインストール用 CD（b）の順に保全するのが，揮発性の観点から適切な順序です。