プロジェクトマネージャ 2025年 午前2 問25
問題文
外部から侵入されたサーバ及びそのサーバに接続されていた記憶媒体を調査対象としてデジタルフォレンジックスを行うことになった。そのために、表に示すa～dを証拠として保全することにした。保全の順序のうち、揮発性の観点から、最も適切なものはどれか。
選択肢
ア：a → c → d → b
イ：b → c → a → d
ウ：c → a → d → b
エ：d → c → a → b（正解）
🔒 解説は解答すると表示されます
証拠保全の揮発性順序【午前2解説】
正解の理由
揮発性とは、電源断や時間の経過によって情報が失われたり、変化したりしやすい性質のことです。デジタルフォレンジックスでは、失われやすい情報から優先して保全します。
この問題では、調査対象サーバのルーティングテーブルは、サーバの稼働中に変化し、電源を切ると失われる可能性があります。そのため、最初に保全します。次に、サーバのハードディスク上にある表計算ファイル、遠隔のログサーバにあるアクセスログの順で保全し、最後に比較的変化しにくいインストール用CDを保全します。
したがって、順序は エ（d → c → a → b） です。
解法ステップ
- 各証拠がどこにあり、どの程度変化・消失しやすいかを考えます。
- d：ルーティングテーブルの状態
稼働中のサーバの状態に関する情報で、変化しやすく、電源断で失われる可能性があります。最優先です。 - c：ハードディスク上の表計算ファイル
不揮発性の記憶装置に保存されており、電源を切っても通常は残ります。 - a：遠隔のログサーバに記録されたアクセスログ
調査対象サーバとは別の場所に記録されているため、対象サーバの電源断によって直ちに失われる情報ではありません。 - b：インストール用CD
媒体が保管されていれば内容は比較的変化しにくいため、最後に保全します。
選択肢別の誤答解説
- ア：a → c → d → b
ルーティングテーブルの状態であるdを、遠隔ログやハードディスク上のファイルより後にしています。揮発性の高い情報を先に保全する順序になっていません。 - イ：b → c → a → d
比較的変化しにくいCDを最初にし、揮発性の高いルーティングテーブルを最後にしています。優先順位が逆です。 - ウ：c → a → d → b
dをハードディスク上のファイルや遠隔ログより後にしているため、揮発性の観点から不適切です。 - エ：d → c → a → b
変化・消失しやすいルーティングテーブルを最初にし、比較的変化しにくいCDを最後にしています。
よくある誤解
- 「ハードディスク上の情報は重要だから最初に保全する」と考える
保全順序は、重要度ではなく、失われやすさ・変化しやすさを基準に考えます。 - 「電源を切っても残る情報なら、どれも同じ優先度」と考える
不揮発性の情報でも、保存場所や更新のされやすさによって優先順位は異なります。 - 「遠隔ログは対象サーバの外にあるので、調査対象ではない」と考える
遠隔ログも証拠になり得ます。保全対象として示されている場合は、揮発性や消失リスクを考慮して順序を判断します。
補足コラム
デジタルフォレンジックスでは、証拠を集めるだけでなく、取得時の状態や手順を記録し、証拠の完全性を保つことも重要です。たとえば、取得したデータのハッシュ値を計算して記録すると、後でデータが改変されていないか確認しやすくなります。
FAQ
Q. ルーティングテーブルはなぜ早く保全するのですか？
A. サーバの稼働状態に依存する情報であり、時間の経過で変化したり、電源断で失われたりする可能性があるためです。
A. サーバの稼働状態に依存する情報であり、時間の経過で変化したり、電源断で失われたりする可能性があるためです。
Q. ハードディスク上のファイルは、電源を切ってから取得してもよいですか？
A. 電源断後も残ることは多いですが、サーバの状態や取得方法によっては証拠を損なう可能性があります。実際の調査では、適切な手順で状態を保全・取得する必要があります。
A. 電源断後も残ることは多いですが、サーバの状態や取得方法によっては証拠を損なう可能性があります。実際の調査では、適切な手順で状態を保全・取得する必要があります。
関連キーワード: デジタルフォレンジックス、揮発性、証拠保全、ルーティングテーブル、ハッシュ値
\ せっかくなら /
プロジェクトマネージャを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！