平成29年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問16
テクノロジ／セキュリティ外部から侵入されたサーバ及びそのサーバに接続されていた記憶媒体を調査対象としてディジタルフォレンジックスを行うことになった。まず，稼働状態にある調査対象サーバや記憶媒体などから表に示す a〜d のデータを証拠として保全する。保全の順序のうち，最も適切なものはどれか。 〔証拠として保全するデータ〕 a：遠隔にあるログサーバに記録された調査対象サーバのアクセスログ b：調査対象サーバにインストールされていた会計ソフトのインストール用 CD c：調査対象サーバのハードディスク上の表計算ファイル d：調査対象サーバのルーティングテーブルの状態 （注：本サイトでは原問題の表を文字表記に変換しています）
出典：平成29年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問16
- アa → c → d → b
- イb → c → a → d
- ウc → a → d → b
- エd → c → a → b
正解：エ
解説
ディジタルフォレンジックスにおける証拠保全では，揮発性の高い（消えやすい）データから順に保全することが原則です。設問のデータのうち，ルーティングテーブルの状態（d）は最も揮発性が高く，次いでハードディスク上の表計算ファイル（c）は稼働中でも比較的変化しやすい情報です。遠隔のログサーバに記録されたアクセスログ（a）はログサーバ側で保持され続けるため相対的に揮発性が低く，会計ソフトのインストール用CD（b）は書換えできない媒体であり最も揮発性が低い（消えにくい）ため，最後に保全すれば十分です。したがって d → c → a → b の順が適切です。
選択肢ごとの解説
- ア誤り。最も揮発性が高いルーティングテーブルの状態（d）を最初に保全していないため，順序として適切ではありません。
- イ誤り。最も揮発性が低いインストール用CD（b）を最初に保全しており，揮発性の観点からの優先順位に反します。
- ウ誤り。ハードディスク上のファイル（c）を最初にしていますが，ルーティングテーブルの状態（d）の方がより揮発性が高いため，先に保全すべきです。
- エ正しい。揮発性の高い順（ルーティングテーブル→ハードディスク上のファイル→遠隔ログサーバのログ→インストール用CD）に保全する d → c → a → b が適切です。