令和3年度 秋期 午前Ⅱ 問12
情報セキュリティ管理
揮発性の観点から最も適切なもの
外部から侵入されたサーバ及びそのサーバに接続されていた記憶媒体を調査対象としてディジタルフォレンジックスを行うことになった。このとき，稼働状態にある調査対象のサーバ，記憶媒体などから表に示す a〜d を証拠として保全する。保全の順序のうち，揮発性の観点から最も適切なものはどれか。
| 証拠として保全するもの | |
|---|---|
| a | 遠隔にあるログサーバに記録された調査対象サーバのアクセスログ |
| b | 調査対象サーバにインストールされていた会計ソフトのインストール用 CD |
| c | 調査対象サーバのハードディスク上の表計算ファイル |
| d | 調査対象サーバのルーティングテーブルの状態 |
- アa → c → d → b
- イb → c → a → d
- ウc → a → d → b
- エd → c → a → b
答えと解説を見る
✓ これが正解エd → c → a → b
解説
消えやすい順に d、c、a、b と保全するのが適切です。
デジタルフォレンジックスで証拠を保全するときは、揮発性の高いもの、つまり消えたり変わったりしやすいものから先に取り出すのが原則です。表の四つを揮発性の高い順に並べます。d のルーティングテーブルの状態はメモリ上の情報で、電源が切れたり時間が経ったりすると変わってしまうので最初です。次は c のハードディスク上のファイルで、電源を切っても残りますが、稼働中は書き込みで変わる可能性があります。その次が a の遠隔のログサーバのログで、調査対象の外にあり攻撃者の影響を受けにくい一方、古いログは順に消えていくことがあります。最後が b のインストール用 CD で、読み出し専用の媒体なので最も変わりにくいものです。
ほかの選択肢はなぜ違うのか
- アa → c → d → b：遠隔のログサーバにあるアクセスログから手を付ける順序です。メモリ上にあるルーティングテーブルの状態を三番目まで後回しにしているので、その間に状態が変わって証拠を失うおそれがあります。
- イb → c → a → d：読み出し専用で最も変わりにくいインストール用 CD を先頭に置き、最も消えやすいルーティングテーブルの状態を最後に回しています。揮発性の観点から見ると、順序がほぼ逆になっています。
- ウc → a → d → b：ハードディスク上の表計算ファイルから始め、ルーティングテーブルの状態を三番目にしています。メモリ上の状態はディスクのファイルより消えやすいので、先に保全しないと失われる可能性があります。
この問題の用語
- 記憶媒体データを保存しておくための装置や媒体。ハードディスクやSSD、USBメモリ、光ディスクなどがあり、容量や速さが違います。
- 証拠あとから事実を確かめられるように残した記録のこと。法的な場面で使えるように集めて保管し調べる手順を、デジタルフォレンジックスと呼びます。
- アクセスログ誰がいつどの情報に触れたかを残しておく記録のことです。利用状況の把握や障害の調査、サイトの改善などに役立ちます。
- 会計お金の動きを記録し、まとめて報告する仕事のことをいいます。在庫の評価のしかたなど、決められた方法に従って計算します。
- ハードディスク磁気で記録する、代表的な記憶装置のことをいいます。回転する円盤に読み書きするので、容量あたりの値段が安い反面、衝撃に弱いです。
出典：令和3年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問12
同じ用語が出る問題
- 令和2年度 10月 午前Ⅱ 問13：フォレンジックスに該当するもの（証拠）
- 平成29年度 秋期 午前Ⅱ 問5：エクスプロイトコードの説明（ハードディスク）
- 平成28年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ 問22：フェールセーフに関する問題（ハードディスク）
- 平成28年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ 問14（証拠）
- 平成21年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問9：コンピュータフォレンジクスの説明（記憶媒体）
この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）