外部から侵入されたサーバ及びそのサーバに接続されていた記憶媒体を調査対象としてディジタルフォレンジックスを行うことになった。まず，稼働状態にある調査対象サーバや記憶媒体などから表に示すa～dのデータを証拠として保全する。保全の順序のうち，最も適切なものはどれか。

選択肢

• アa → c → d → b
• イb → c → a → d
• ウc → a → d → b
• エd → c → a → b

正解と解説

正解：エ d → c → a → b

ディジタルフォレンジックスでは、消えやすいデータから順に保全する「揮発性の順序」が原則となる。ルーティングテーブルなどメモリ上の状態は電源断や時間経過で失われるため最優先で、次にディスク上のファイル、遠隔のログサーバに残るログ、最後に書換えの起こらないCDのような媒体という順になる。

選択肢ごとの解説

• ア遠隔ログより先に取るべき揮発性の高いルーティングテーブルが最後になっている。
• イ最も揮発しにくいCDを最初に保全しており、揮発性の順序に反する。
• ウディスク上のファイルより揮発性が高いルーティングテーブルが後回しになっている。
• エ正解。揮発性の高い順にd（メモリ上の状態）→c（ディスク）→a（遠隔ログ）→b（CD）となる。

同じ分野の他の問題

• マルウェア感染の調査対象のPCに対して、電源を切る前に全ての証拠保全を行いたい。ARPキャッシュを取得した後に保全すべき…2025年度 春期 午前II 問15
• マルウェア感染の調査対象のPCに対して,電源を切る前に全ての証拠保全を行いたい。ARPキャッシュを取得した後に保全すべき…2023年度 春期 午前II 問13
• 外部から侵入されたサーバ及びそのサーバに接続されていた記憶媒体を調査対象としてディジタルフォレンジックスを行うことになっ…2021年度 秋期 午前II 問12
• ディジタルフォレンジックスに該当するものはどれか。2020年度 10月試験 午前II 問13
• ディジタルフォレンジックスに該当するものはどれか。2016年度 春期 午前II 問14