令和5年春期試験問題 午前Ⅱ 問13

マルウェア感染の調査対象のPCに対して,電源を切る前に全ての証拠保全を行いたい。ARPキャッシュを取得した後に保全すべき情報のうち,最も優先して保全すべきものはどれか。

  • 調査対象のPCで動的に追加されたルーティングテーブル
  • 調査対象のPCに増設されたHDDにある個人情報を格納したテキストファイル
  • 調査対象のPCのVPN接続情報を記録しているVPNサーバ内のログ
  • 調査対象のPCのシステムログファイル
正解 問題へ
分野 :テクノロジ系
中分類:セキュリティ
小分類:情報セキュリティ対策
解説
デジタルフォレンジックスにおける証拠保全では、コンピュータの電源切断や時間経過に伴って消失する揮発性データを優先して保全する必要があります。すなわち、揮発性の高いものから揮発性の低いものへの順に保全を行うのが原則です。

特定非営利法人デジタルフォレンジック協会「証拠保全ガイドライン第10版」によれば、"証拠収集における揮発性と順序"は次のとおりです。
  1. レジスタ、キャッシュ【優先度:高↑】
  2. ルーティングテーブル、ARPキャッシュ、プロセステーブル、カーネル統計、メモリ
  3. テンポラリファイルシステム
  4. ディスク
  5. 当該システムと関連する遠隔ロギングと監視データ
  6. 物理設定、ネットワークトポロジ
  7. アーカイブ用メディア【優先度:低↓】
選択肢それぞれの情報を上記に対応付けると、優先順位は次のようになります。
  1. ルーティングテーブル
  2. システムログファイル(ディスク)
  3. 個人情報を格納したテキストファイル(ディスク)
  4. VPNサーバ内のログ(当該システムと関連する遠隔ロギングと監視データ)
最も優先度が高いのは、永続的なファイルではなく一時的な情報である"ルーティングテーブル"です。したがって「ア」が正解です。

この問題の出題歴


Pagetop