令和5年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問13

解説

デジタルフォレンジックにおける証拠保全は，揮発性の高い情報から順に取得する「揮発性順（Order of Volatility）」に従います。一般に，レジスタ・キャッシュ，ARP キャッシュやルーティングテーブルなどのネットワーク状態，実行中のプロセス，メモリの内容，一時ファイルシステム，ディスク上のデータ，リモートのログの順に揮発性が下がっていきます。ARP キャッシュの次に優先すべきは，同じく揮発性が高く電源断で消失する動的なルーティングテーブルです。

選択肢ごとの解説

• ア正しい。動的に追加されたルーティングテーブルは ARP キャッシュと同様に揮発性が高く，電源を切ると失われるため，最も優先して保全すべき情報です。
• イ誤り。HDD 上のテキストファイルは電源を切っても保持される不揮発性の情報であり，優先度は低くなります。
• ウ誤り。VPN サーバ内のログは調査対象の PC 自体ではなく別の装置に保存されている情報であり，PC の電源を切っても消失しません。
• エ誤り。システムログファイルは通常ディスクに書き込まれる不揮発性の情報であり，メモリ上の動的な情報より優先度は低くなります。