令和5年度 春期 午前Ⅱ 問13
情報セキュリティ管理
ARPキャッシュに関する問題
マルウェア感染の調査対象の PC に対して，電源を切る前に全ての証拠保全を行いたい。ARP キャッシュを取得した後に保全すべき情報のうち，最も優先して保全すべきものはどれか。
- ア調査対象の PC で動的に追加されたルーティングテーブル
- イ調査対象の PC に増設された HDD にある個人情報を格納したテキストファイル
- ウ調査対象の PC の VPN 接続情報を記録している VPN サーバ内のログ
- エ調査対象の PC のシステムログファイル
答えと解説を見る
✓ これが正解ア調査対象の PC で動的に追加されたルーティングテーブル
解説
電源を切ると消えるルーティングテーブルを最優先で保全します。
証拠保全では、失われやすい情報から順に取得するのが基本です。電源を切ったり時間がたったりすると消えてしまうメモリ上の情報は、ディスクに保存されたファイルより先に保全する必要があります。ARP キャッシュもそうしたメモリ上の情報であり、動的に追加されたルーティングテーブルも同じくメモリ上にあって、電源を切れば失われます。そのため、ARP キャッシュの次に優先して保全すべきものはルーティングテーブルです。
ほかの選択肢はなぜ違うのか
- イ調査対象の PC に増設された HDD …：増設された HDD 上のテキストファイルは、PC の電源を切ってもディスクに残り続けます。揮発性が低いので、消えやすい情報を取得した後で保全しても間に合います。
- ウ調査対象の PC の VPN 接続情報を…：VPN サーバ内のログは調査対象の PC の外に保存されており、PC の電源を切っても消えません。PC 内の揮発性の高い情報を取り終えてから入手すれば足ります。
- エ調査対象の PC のシステムログファイル：システムログファイルはディスクに書き込まれているので、電源を切っても失われません。大切な証拠ではありますが、消えやすい情報の保全を先に済ませるべきです。
この問題の用語
- マルウェアウイルスやランサムウェアなど、利用者に害を与える目的で作られたソフトの総称です。感染すると情報を盗まれたり操作できなくされたりします。
- 証拠保全後から法的な証拠として使えるように、原本性を保って集めることです。標本を抜き出して調べるサンプリングとは、目的が違います。
- キャッシュ一度取り寄せた内容を手元に置いて、次から早く使えるようにする仕組み。CPUとメモリの間や、ブラウザ、DNSなど、さまざまな場所で使われます。
- VPN公衆回線の上に暗号化した通り道を作り、専用線のように使う仕組みです。通信路を守るものなので、Webアプリへの攻撃そのものを遮る役目はありません。
- ログいつ誰が何をしたかを、機器やソフトウェアが自動で残していく記録です。あとから出来事をたどれるので、事故の調査や不正の発見に使われます。
出典：令和5年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問13
同じ用語が出る問題
- 令和7年度 秋期 午前Ⅱ 問15：CSPMに関する問題（マルウェア）
- 令和7年度 秋期 午前Ⅱ 問8：ドメインフロンティングの問題（キャッシュ）
- 令和7年度 春期 午前Ⅱ 問8：コネクトバックの説明（マルウェア）
- 令和3年度 春期 午前Ⅱ 問18：NFVに関する問題（VPN）
- 平成26年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ 問20：ESPに関する問題（VPN）
この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）