令和7年度 プロジェクトマネージャ試験 午前II 問25
外部から侵入されたサーバ及びそのサーバに接続されていた記憶媒体を調査対象としてデジタルフォレンジックスを行うことになった。そのために，表に示すa〜dを証拠として保全することにした。保全の順序のうち，揮発性の観点から，最も適切なものはどれか。 〔証拠として保全するもの〕 a：遠隔にあるログサーバに記録された調査対象サーバのアクセスログ b：調査対象サーバにインストールされていた会計ソフトのインストール用CD c：調査対象サーバのハードディスク上の表計算ファイル d：調査対象サーバのルーティングテーブルの状態
- ア a→c→d→b
- イ b→c→a→d
- ウ c→a→d→b
- エ d→c→a→b
解答・解説を見る
正解：エ
AI解説
デジタルフォレンジックスでは、電源断や時間経過で失われやすいデータから先に保全する「揮発性の高い順」の原則（RFC 3227）に従う。ルーティングテーブルはメモリ上にあり最も揮発性が高く、次にディスク上のファイル（改ざん・上書きのおそれ）、遠隔サーバのログ（別システムで比較的保持される）、最後にCD（読み取り専用の不揮発媒体）の順となるため、d→c→a→bが適切である。 ア: a（遠隔ログ）を最初にしているが、遠隔ログサーバのデータは調査対象サーバの電源状態に依存せず比較的保全が利くため、メモリ上のdより優先するのは誤り。 イ: b（CD）は読み取り専用の不揮発媒体で最も失われにくく、最初に保全する必要性が最も低いため誤り。 ウ: c（HDD上のファイル）よりd（メモリ上のルーティングテーブル）の方が揮発性が高く、cを先にするのは誤り。 エ: 正解。d（メモリ上・電源断で消失）→c（ディスク上・上書きの可能性）→a（遠隔サーバ上・ローテーションで消える可能性はあるが比較的安全）→b（CD・不揮発）の順が揮発性の高い順である。 💡 保全順序は「メモリ→ディスク→リモート→読み取り専用媒体」と階層で覚える。RFC 3227の揮発性順序（レジスタ/キャッシュ→ルーティングテーブル/ARP/プロセス→メモリ→ディスク→ログ→物理媒体）を押さえておくと応用が利く。
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。