平成29年度秋期 情報処理安全確保支援士 午前Ⅱ 問16

午前II 問16：消えやすい証拠から先に集めよう

稼働中のサーバをフォレンジックスするときは、まずルーティングテーブルみたいに電源を切ったり停止したりすると消えてしまう“その場限りのメモ”のようなデータを先に保全するんだよ。そのあとで、ディスク上のファイルや遠隔ログなど、比較的あとからでも確認しやすい証拠を集めよう。

この問題で問われていること

この問題のポイントは、証拠保全の順番は“消えやすいものから先”だと分かっているかどうかだよ。冷蔵庫の中身より、黒板に書かれたメモの方が先に消されやすい、というイメージで考えると分かりやすいよ。

保全順序の原則

メモリ上や現在状態の情報は停止すると失われる。一方、遠隔ログや CD、ディスク上ファイルは比較的後でも残りやすい。

揮発性高 -> 先に保全\n揮発性低 -> 後で保全

確認ポイント

• ルーティングテーブルのような現在状態は先に取る。
• インストール CD のような静的媒体は後でも失われにくい。
• 揮発性の高い証拠から先に保全すると考える。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

不正解だよ。遠隔のログサーバに記録されたアクセスログは、別の場所の受付簿に残っている記録みたいなものだよ。重要な証拠にはなり得るけど、調査対象サーバの電源を切った瞬間に消える情報ではないので、この設問の答えにはなりにくいんだ。

選択肢イ

不正解だよ。会計ソフトのインストール用CDは、事件現場に置いてある予備の道具みたいなものだよ。調査対象サーバでその時何が起きていたかを示す“今しか取れない証拠”ではないので、優先して保全する対象としては弱いんだ。

選択肢ウ

不正解だよ。ハードディスク上の表計算ファイルは、机の引き出しに入った書類みたいに、電源を切っても基本的には残るものだよ。もちろん証拠として大事な場合はあるけど、この問題で優先して保全したい“消えやすい状態”ではないんだ。

選択肢エ（正解）

正解だよ。ルーティングテーブルは、サーバが通信するときの“今の道案内メモ”みたいなものだよ。電源を切ったり再起動したりすると状態が変わったり消えたりすることがあるから、泥棒が逃げた直後の足跡を写真に撮るように、先に保全しておく必要があるんだ。