令和5年度春期 情報処理安全確保支援士 午前Ⅱ 問13

午前II 問13：消える証拠は電源を切る前に確保しよう

フォレンジックでは、電源を切ったり再起動したりすると消えてしまう情報を先に守るのが大事だよ。たとえば、ホワイトボードに一時的に書かれたメモみたいに、動的に追加されたルーティングテーブルは停止すると失われることがある。だから、電源を切る前に保全すべき代表例なんだ。

この問題で問われていること

この問題では、フォレンジックで「消えやすい証拠から優先して集める」という原則を理解しているかが問われているよ。揮発性の高い情報は、片付ける前の机の上のメモみたいなものだから、まず先に記録しよう。

揮発性証拠の優先順位

メモリ上や実行中状態にしか存在しない情報ほど先に取得する。

高揮発性\n-> 先に保全\n例: 動的ルート

確認ポイント

• 増設 HDD 内ファイルやサーバログは後でも取得できる可能性がある。
• システムログは比較的永続的です。
• 動的ルーティングテーブルを選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは正解だよ。動的に追加されたルーティングテーブルは、PCが今どこへ通信を流しているかを示す“その場限りの道案内メモ”みたいなもの。電源を切ると消えたり変わったりしやすいので、ARPキャッシュの次に急いで保全するべきなんだ。

選択肢イ

これは不正解だよ。HDD上のテキストファイルは、机の引き出しに入った書類のように、電源を切っても基本的には残る情報なんだ。証拠として大事でも、今すぐ消える“その場の状態”ではないので、最優先ではないよ。

選択肢ウ

これは不正解だよ。VPNサーバのログは、調査対象PCの外にある“受付の記録簿”みたいなもの。大事な証拠ではあるけど、PCの電源を切った瞬間に消える情報ではないので、今すぐ最優先で取るものではないんだ。

選択肢エ

これは不正解だよ。システムログファイルは、PC内に残る“日記帳”のようなもの。もちろん重要だけど、通常はディスク上に保存されていて電源を切っても残りやすいので、消えやすいルーティングテーブルより優先度は低いよ。