令和5年度 春期 情報処理安全確保支援士試験 午前 II 問題 問13

テクノロジセキュリティ技術

この問題は2023(R5)春 情報処理安全確保支援士 午前IIに出題されたものです。出題時点の法令・制度に基づく内容のため、現行の内容と一致しない場合があります。

本ページの問題文・選択肢は、原本の体裁を Web 表示用に正規化しています（改行・記号・数式・図表参照の調整）。設問の趣旨および正解に影響する変更は加えていません。

マルウェア感染の調査対象のPCに対して, 電源を切る前に全ての証拠保全を行いたい。ARPキャッシュを取得した後に保全すべき情報のうち, 最も優先して保全すべきものはどれか。

解答・解説を読む

正解: 選択肢ア

デジタルフォレンジックスにおいて、インシデント発生時の証拠保全はデータの揮発性が高い順（電源断によって消失しやすい順）に行うことが原則です（RFC 3227）。

ARPキャッシュやプロセス情報、ルーティングテーブルなどのメモリ上に存在するデータは、電源を切ると消失してしまうため、HDDなどの不揮発性ストレージのデータよりも優先して保全する必要があります。

各選択肢の解説

  1. ア（正解）: 調査対象のPCで動的に追加されたルーティングテーブルは、メインメモリ上で管理されている揮発性データです。電源断により消失するため、最も優先して取得すべき情報です。

  2. イ: HDDにあるテキストファイルは不揮発性データであり、電源を切っても消失しないため、揮発性データの保全後に取得します。

  3. ウ: VPNサーバ内のログは対象のPCとは別の機器上に保存されているため、対象PCの電源状態の影響を受けません。

  4. エ: PCのシステムログファイルは通常HDDなどのストレージに保存される不揮発性データであるため、ルーティングテーブルよりも保全の優先度は低くなります。