マルウェア感染の調査対象のPCに対して,電源を切る前に全ての証拠保全を行いたい。ARPキャッシュを取得した後に保全すべき情報のうち,最も優先して保全すべきものはどれか。

選択肢

• ア調査対象のPCで動的に追加されたルーティングテーブル
• イ調査対象のPCに増設されたHDDにある個人情報を格納したテキストファイル
• ウ調査対象のPCのVPN接続情報を記録しているVPNサーバ内のログ
• エ調査対象のPCのシステムログファイル

正解と解説

正解：ア 調査対象のPCで動的に追加されたルーティングテーブル

証拠保全では、失われやすい情報から先に採取するという揮発性の順序(order of volatility)に従う。ARPキャッシュと同様にメモリ上にしか存在せず電源断で消えるのは、動的に追加されたルーティングテーブルなので、アを最優先で保全する。HDD上のファイルやシステムログ、別サーバ内のログは不揮発性で電源を切っても残るため、優先度は低い。

選択肢ごとの解説

• ア正しい。動的ルーティング情報は揮発性が高く、電源断で失われる。
• イ増設HDD上のファイルは不揮発性なので後回しでよい。
• ウ別筐体のVPNサーバ内のログであり、調査対象PCの電源断では失われない。
• エディスクに書かれたシステムログは不揮発性で残る。

同じ分野の他の問題

• マルウェア感染の調査対象のPCに対して、電源を切る前に全ての証拠保全を行いたい。ARPキャッシュを取得した後に保全すべき…2025年度 春期 午前II 問15
• 外部から侵入されたサーバ及びそのサーバに接続されていた記憶媒体を調査対象としてディジタルフォレンジックスを行うことになっ…2021年度 秋期 午前II 問12
• ディジタルフォレンジックスに該当するものはどれか。2020年度 10月試験 午前II 問13
• 外部から侵入されたサーバ及びそのサーバに接続されていた記憶媒体を調査対象としてディジタルフォレンジックスを行うことになっ…2017年度 秋期 午前II 問16
• ディジタルフォレンジックスに該当するものはどれか。2016年度 春期 午前II 問14