マルウェア感染の調査対象のPCに対して、電源を切る前に全ての証拠保全を行いたい。ARPキャッシュを取得した後に保全すべき情報のうち、最も優先して保全すべきものはどれか。

選択肢

• ア調査対象のPCで動的に追加されたルーティングテーブル
• イ調査対象のPCに増設されたHDDにある個人情報を格納したテキストファイル
• ウ調査対象のPCのVPN接続情報を記録しているVPNサーバ内のログ
• エ調査対象のPCのシステムログファイル

正解と解説

正解：ア 調査対象のPCで動的に追加されたルーティングテーブル

証拠保全は「揮発性の高いものから順に採取する」という原則（order of volatility）に従います。ARPキャッシュと同様に動的なルーティングテーブルはメモリ上にあり、時間経過や電源断で失われるため最優先です。HDD上のファイルやシステムログはディスクに残り、VPNサーバ内のログは調査対象PCの電源とは無関係なので、いずれも後回しにできます。

選択肢ごとの解説

• ア正解。動的なルーティング情報は揮発性が高く、電源断で失われるため最優先です。
• イHDD上のファイルは電源を切っても残るので、優先度は低くなります。
• ウ別筐体のVPNサーバのログは、調査対象PCの電源操作では失われません。
• エシステムログはディスクに書かれており、揮発性メモリの情報より優先度は下がります。

同じ分野の他の問題

• マルウェア感染の調査対象のPCに対して,電源を切る前に全ての証拠保全を行いたい。ARPキャッシュを取得した後に保全すべき…2023年度 春期 午前II 問13
• 外部から侵入されたサーバ及びそのサーバに接続されていた記憶媒体を調査対象としてディジタルフォレンジックスを行うことになっ…2021年度 秋期 午前II 問12
• ディジタルフォレンジックスに該当するものはどれか。2020年度 10月試験 午前II 問13
• 外部から侵入されたサーバ及びそのサーバに接続されていた記憶媒体を調査対象としてディジタルフォレンジックスを行うことになっ…2017年度 秋期 午前II 問16
• ディジタルフォレンジックスに該当するものはどれか。2016年度 春期 午前II 問14