令和5年度 秋期 エンベデッドシステムスペシャリスト試験 午前Ⅱ 問16
テクノロジ／セキュリティ外部から侵入されたサーバ及びそのサーバに接続されていた記憶媒体を調査対象としてデジタルフォレンジックスを行うことになった。このとき，稼働状態にある調査対象のサーバ，記憶媒体などから表に示す a 〜 d を証拠として保全する。保全の順序のうち，揮発性の観点から最も適切なものはどれか。 〔証拠として保全するもの〕 a：遠隔にあるログサーバに記録された調査対象サーバのアクセスログ b：調査対象サーバにインストールされていた会計ソフトのインストール用 CD c：調査対象サーバのハードディスク上の表計算ファイル d：調査対象サーバのルーティングテーブルの状態 （注：本サイトでは原問題の表を文字表記に変換しています）
出典：令和5年度 秋期 エンベデッドシステムスペシャリスト試験 午前Ⅱ 問16
- アa → c → d → b
- イb → c → a → d
- ウc → a → d → b
- エd → c → a → b
正解：エ
解説
デジタルフォレンジックスでは，消えやすい（揮発性の高い）証拠から順に保全するのが原則です。揮発性はおおむね「レジスタ・キャッシュ → ルーティングテーブルや ARP キャッシュ，プロセス情報 → 主記憶 → 一時ファイル → ハードディスク → 遠隔のログ → 光ディスクなどの不変媒体」の順に低くなります。したがって d（ルーティングテーブルの状態）→ c（ハードディスク上のファイル）→ a（遠隔のログサーバのログ）→ b（インストール用 CD）の順が適切です。
選択肢ごとの解説
- ア誤り。最も揮発性が高いルーティングテーブルの状態 d を 3 番目に回しており，サーバの停止や再構成によって失われるおそれがあります。
- イ誤り。最も揮発性が低く，いつでも取得できるインストール用 CD の b を最初に保全しており，揮発性の観点の順序と正反対です。
- ウ誤り。ハードディスク上のファイル c を先に保全している間に，揮発性の高いルーティングテーブル d の内容が変化してしまうおそれがあります。
- エ正しい。揮発性の高い d（ルーティングテーブルの状態）から始め，c（ハードディスク上のファイル），a（遠隔のログサーバのログ），b（インストール用 CD）と揮発性の低い順に保全しています。