デジタルフォレンジックスの証拠保全と揮発性の順序
更新日:
用語解説
証拠保全では、時間経過や電源断で失われやすい情報から先に収集します。
■ 試験で押さえるポイント
保全の優先順位 RFC 3227の考え方では、レジスタ・キャッシュ、ルーティングテーブルやARPキャッシュ、実行中プロセスやメモリなど、揮発性の高い情報を優先します。
次に一時ファイルやディスク上のファイルを保全し、その後に遠隔ログ、バックアップやCDなどのアーカイブ媒体を扱います。
取得時刻、作業者、手順、ハッシュ値を記録して証拠の同一性と管理の連続性（チェーン・オブ・カストディ）を確保します。