令和3年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問12
テクノロジ／セキュリティ外部から侵入されたサーバ及びそのサーバに接続されていた記憶媒体を調査対象としてディジタルフォレンジックスを行うことになった。このとき，稼働状態にある調査対象のサーバ，記憶媒体などから次の a〜d を証拠として保全する。保全の順序のうち，揮発性の観点から最も適切なものはどれか。 〔証拠として保全するもの〕 a：遠隔にあるログサーバに記録された調査対象サーバのアクセスログ b：調査対象サーバにインストールされていた会計ソフトのインストール用 CD c：調査対象サーバのハードディスク上の表計算ファイル d：調査対象サーバのルーティングテーブルの状態 （注：本サイトでは原問題の表を文字表記に変換しています）
出典：令和3年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問12
- アa → c → d → b
- イb → c → a → d
- ウc → a → d → b
- エd → c → a → b
正解：エ
解説
ディジタルフォレンジックスにおける証拠保全は，揮発性（時間の経過や電源断などによって失われやすい性質）の高い情報から優先して保全するのが原則です。設問の a〜d では，d のルーティングテーブルの状態はメモリ上の動的な情報で最も揮発性が高く，次いで c のハードディスク上のファイル，その次に a の遠隔のログサーバに記録されたログ（比較的長期間保持されるが常に上書き・巡回消去され得る），最後に b のインストール用 CD（読み取り専用の静的な媒体で最も揮発性が低い）という順に揮発性が低くなります。したがって，揮発性の高いものから低いものへと，d → c → a → b の順で保全するのが最も適切です。
選択肢ごとの解説
- ア誤り。a（遠隔のログサーバのログ）を最初に保全する順序は，メモリ上の情報である d（ルーティングテーブル）よりも先に保全することになり，揮発性の観点から適切ではありません。
- イ誤り。b（インストール用 CD）は静的な媒体であり最も揮発性が低いにもかかわらず，これを最初に保全する順序は，揮発性の観点から適切ではありません。
- ウ誤り。c（ハードディスク上のファイル）を最初に保全する順序は，より揮発性の高い d（ルーティングテーブル）よりも先に保全することになり，揮発性の観点から適切ではありません。
- エ正しい。揮発性が最も高いルーティングテーブルの状態（d）から順に，ハードディスク上のファイル（c），遠隔のログサーバのログ（a），最後にインストール用 CD（b）という揮発性の高いものから低いものへの順序，d → c → a → b が最も適切です。