平成29年度 秋期 午前Ⅱ 問16

✓ これが正解エd → c → a → b

解説

消えやすいデータから順に、d→c→a→bの順で保全します。

デジタルフォレンジックスで証拠を保全するときは、揮発性の高い、つまり消えたり変わったりしやすいデータから先に取り出すのが原則です。d のルーティングテーブルはメモリ上にあり、時々刻々と変わるので最初に保全します。次は c の、稼働中のサーバのハードディスク上にある表計算ファイルで、動いている間に上書きされる恐れがあります。その次が a の、遠隔のログサーバにあるアクセスログです。別の機器にあるので当面は残りますが、ローテーションなどで消える可能性はあります。最後が b のインストール用 CD で、読出し専用のため内容は変わりません。

ほかの選択肢はなぜ違うのか

• アa → c → d → b：遠隔のログサーバのログから始め、経路の表を3番目に回しています。メモリ上で刻々と変わる経路の情報を後回しにすると、保全するまでの間に当時の状態が失われます。
• イb → c → a → d：内容が変わらない CD を最初に保全し、経路の表を最後にしています。揮発性の高い順とは正反対に近い並びで、失われやすい情報ほど取りこぼすことになります。
• ウc → a → d → b：ハードディスク上のファイルと遠隔のログを先に取り、経路の表を3番目にしています。最も変わりやすい情報を後回しにしている点で、保全の順序として不適切です。