エンベデッドシステムスペシャリスト 2021年午前2 問17

問題文

外部から侵入されたサーバ及びそのサーバに接続されていた記憶媒体を調査対象としてディジタルフォレンジックスを行うことになった。このとき、稼働状態にある調査対象のサーバ、記憶媒体などから表に示すa～dを証拠として保全する。保全の順序のうち、揮発性の観点から最も適切なものはどれか。

🖊️ 解答を隠して解いてみる

ア：a → c → d → b

イ：b → c → a → d

ウ：c → a → d → b

エ：d → c → a → b（正解）

🔒 解説は解答すると表示されます

揮発性の観点では、消失・変化しやすい証拠から先に保全します。サーバのルーティングテーブルは稼働中の状態を示す情報で、ネットワークの変化やサーバの停止によって内容が変化・消失するおそれがあります。そのため、最初に保全する対象は d です。

次に、ハードディスク上の表計算ファイル c、遠隔のログサーバに記録されたアクセスログ a、インストール用 CD b の順に保全します。CDは記録後に内容が変化しにくく、最も揮発性が低い対象です。

したがって、保全順序が d → c → a → b となるエが適切です。

各対象が「稼働状態に依存する情報」か「記憶媒体に保存された情報」かを見分けます。
変化・消失しやすいものを先に並べます。
- d：ルーティングテーブルの状態
- c：ハードディスク上の表計算ファイル
- a：遠隔ログサーバ上のアクセスログ
- b：インストール用 CD
揮発性の高い順に並べ、選択肢と照合します。

ア（a → c → d → b）：ルーティングテーブル d は稼働中に変化・消失する可能性が高いため、アクセスログ a やディスク上のファイル c より先に保全する必要があります。
イ（b → c → a → d）：CD b は内容が変化しにくいため、最初に保全する順序ではありません。また、最も揮発性の高い d が最後になっています。
ウ（c → a → d → b）：ディスク上のファイル c よりも、稼働中の状態に依存するルーティングテーブル d を先に保全します。
エ（d → c → a → b）：ルーティングテーブルを先に保全し、その後、ハードディスク上のファイル、遠隔ログ、CDの順に保全するため、適切です。

「ハードディスク上の情報は、常に最初に保全する」と考えること
ディスク上のファイルは比較的長く保持されます。稼働中にしか取得できない状態情報があれば、そちらを先に保全します。
「遠隔サーバ上の情報は揮発しない」と考えること
遠隔ログは対象サーバの停止で直ちに消えるとは限りませんが、ログの更新や保存期間の経過などで失われる可能性があります。
「電源を切れば安全に調査できる」と考えること
電源を切ると、ルーティングテーブルなどの揮発性情報が失われるおそれがあります。稼働状態での証拠保全が必要です。

ディジタルフォレンジックスでは、証拠の内容だけでなく、取得時の状態や取得手順を記録することも重要です。特に揮発性情報は、取得のための操作自体が状態を変えることもあります。証拠の改変を最小限に抑え、取得日時や使用した手順を記録して、証拠の信頼性を保ちます。

Q. ルーティングテーブルは、なぜ揮発性が高いのですか。
A. 稼働中のネットワーク状態に応じて変化し、サーバを停止すると状態が失われることがあるためです。

Q. ハードディスク上のファイルは、サーバが停止しても残りますか。
A. 通常は不揮発性媒体に保存されているため、電源を切っても内容は残ります。ただし、調査中の操作による変更には注意が必要です。

Q. 揮発性の順序は、どのように覚えるとよいですか。
A. 「稼働状態に依存する情報を先に、保存媒体に固定された情報を後に」と考えると整理しやすいです。

関連キーワード: ディジタルフォレンジックス、揮発性情報、証拠保全、ルーティングテーブル、アクセスログ

\ せっかくなら /

エンベデッドシステムスペシャリストを
クイズ形式で学習しませんか？

すぐに利用可能！