エンベデッドシステムスペシャリスト 2023年午前2 問16

問題文

外部から侵入されたサーバ及びそのサーバに接続されていた記憶媒体を調査対象としてデジタルフォレンジックスを行うことになった。このとき、稼働状態にある調査対象のサーバ、記憶媒体などから表に示すa～dを証拠として保全する。保全の順序のうち、揮発性の観点から最も適切なものはどれか。

🖊️ 解答を隠して解いてみる

ア：a → c → d → b

イ：b → c → a → d

ウ：c → a → d → b

エ：d → c → a → b（正解）

🔒 解説は解答すると表示されます

揮発性とは、時間の経過や電源断などによって、データが失われたり変化したりしやすい性質です。デジタルフォレンジックスでは、失われやすい証拠から優先して保全します。

この問題では、稼働中のサーバの状態を示すルーティングテーブル（d）を最初に保全します。次に、サーバ内のハードディスクにあるファイル（c）、遠隔のログサーバに記録されたアクセスログ（a）、最後にインストール用CD（b）の順となります。

したがって、順序が d → c → a → b であるエが適切です。

各証拠がどこに保存されているかを確認します。
- d：サーバの稼働状態を示すルーティングテーブル
- c：サーバのハードディスク上のファイル
- a：遠隔のログサーバに記録されたアクセスログ
- b：インストール用CD
消失・変化しやすいものを先にします。
ルーティングテーブルは稼働中のネットワーク状態を示す情報で、サーバの停止やネットワーク構成の変化によって変わる可能性があります。そのため、最初に保全します。
記憶媒体上の情報、遠隔ログ、固定的な媒体の順に並べます。
ハードディスク上のファイル、遠隔ログサーバ上のアクセスログ、CDの順に保全するため、d → c → a → b となります。

ア（a → c → d → b）：ルーティングテーブルを3番目にしており、変化しやすい稼働状態の情報を後回しにしています。
イ（b → c → a → d）：CDを最初にしていますが、CDは比較的変化しにくい記録媒体です。揮発性の高い情報を優先する順序ではありません。
ウ（c → a → d → b）：ルーティングテーブルより先に、ハードディスク上のファイルや遠隔ログを保全しています。
エ（d → c → a → b）：変化しやすいルーティングテーブルから、ハードディスク上のファイル、遠隔ログ、CDの順に保全しており、揮発性の観点に合っています。

「サーバ内のデータなら、すべて同じ程度に揮発性が高い」と考えること
稼働中の状態を示す情報と、ハードディスクに保存されたファイルでは、失われやすさが異なります。
「遠隔地のログは、サーバ外にあるので最初に保全すべき」と考えること
保全順序は、場所だけでなく、情報が変化・消失しやすいかどうかで判断します。
「媒体が物理的に手元にあるものを先に保全する」と考えること
媒体の近さや扱いやすさではなく、証拠の揮発性を基準にします。

フォレンジックスでは、調査のために電源を切ると、メモリ上の情報やルーティングテーブルなどが失われるおそれがあります。そのため、稼働中のシステムを扱う際は、何をどの順序で保全するかが重要です。

一般に、揮発性の高い情報を先に取得し、ハードディスクやCDなど、電源を切っても残る記録媒体の情報は後に保全します。実際の調査では、証拠の改変を避ける手順や組織のルールにも従います。

Q. ルーティングテーブルは、なぜハードディスク上のファイルより先なのですか？
A. ルーティングテーブルは、稼働中のネットワーク状態を示す情報です。サーバの停止やネットワーク環境の変化によって失われたり変化したりする可能性があるためです。

Q. CDはなぜ最後に保全するのですか？
A. CDは、サーバの電源状態に左右されにくい記録媒体です。揮発性が低いため、稼働状態に依存する情報より後に保全します。

Q. ハードディスク上のファイルも変化することがありますか？
A. あります。稼働中のサーバでは、ファイルの更新や上書きが起こる可能性があります。ただし、一般にルーティングテーブルのような稼働状態の情報よりは失われにくいため、この順序では後になります。

関連キーワード: デジタルフォレンジックス、揮発性、証拠保全、ルーティングテーブル、アクセスログ

\ せっかくなら /

エンベデッドシステムスペシャリストを
クイズ形式で学習しませんか？

すぐに利用可能！