令和3年度 秋期 エンベデッドシステムスペシャリスト試験 午前II 問17

ディジタルフォレンジックスにおける証拠保全では、データが変化したり失われたりするリスクを最小限に抑えるため、揮発性が高い（消失しやすい）ものから優先して保全を行う必要があります。

表に示された各項目の揮発性の高さは以下の通りです。

1. d: 調査対象サーバのルーティングテーブルの状態
   ルーティングテーブルやキャッシュなど、メインメモリ上に存在する情報は、サーバの再起動や電源切断によって直ちに失われてしまいます。したがって、最も揮発性が高く、真っ先に保全しなければなりません。

2. c: 調査対象サーバのハードディスク上の表計算ファイル
   ハードディスク上のデータは電源を切っても保持されますが、サーバが稼働状態にあるため、OSや他のプロセスによって意図せず上書き・削除・変更されるリスクが常に存在します。そのため、メモリ上のデータの次に保全する必要があります。

3. a: 遠隔にあるログサーバに記録された調査対象サーバのアクセスログ
   調査対象サーバとは別のサーバ（ログサーバ）のハードディスク等に記録されているため、調査対象サーバをシャットダウンしても直ちに失われることはありません。ただし、ログサーバの容量制限や一定期間経過に伴うログローテーションによって古いデータから削除される可能性があるため、物理メディアよりは優先して保全します。

4. b: 調査対象サーバにインストールされていた会計ソフトのインストール用 CD
   CDは読み取り専用の物理的な記憶媒体であり、データが書き換えられたり消失したりすることはありません。したがって、揮発性が最も低く、最後に保全して問題ありません。

これらを揮発性の高い順に並べると、d → c → a → b となります。

各選択肢の解説

• ア (a → c → d → b)
  最も揮発性の高い「d: ルーティングテーブルの状態」の保全順位が遅いため誤りです。
• イ (b → c → a → d)
  揮発性のない「b: インストール用 CD」を最初に保全し、最も揮発性の高い「d: ルーティングテーブルの状態」を最後にしているため、全くの逆順となっており誤りです。
• ウ (c → a → d → b)
  「d: ルーティングテーブルの状態」よりも先に「c: ハードディスク上のファイル」や「a: 遠隔のアクセスログ」を保全しており、揮発性の観点からの優先順位が適切ではないため誤りです。
• エ (d → c → a → b)
  正解です。最も揮発性の高いメモリ上の情報から始まり、最も揮発性の低いCDへと至る、正しい保全順序です。