デジタルフォレンジックスにおける証拠保全順序（揮発性の順位付け）

デジタルフォレンジックスにおいて、稼働中のシステムから証拠を保全する際は、 揮発性（データが消滅・変化する速さ）が最も高いものから順に保全する という国際原則（Order of Volatility: RFC 3227）に従う必要があります。 各記憶領域の揮発性の順位: 1. 最も揮発性が高い（最優先） : レジスタ、キャッシュ、及び d: 主記憶（RAM）のメモリ空間 （電源断で即座に消失し、OSの動作中も刻々と上書きされる）。 2. 次に揮発性が高い : c: ルーティングテーブル、ARPキャッシュ、プロセス一覧 （カーネル内部の状態情報）。 3. 揮発性が低い（不揮発性） : a: HDD/SSDなどのローカル補助記憶装置 （電源を切っても保持される）。 4. 最も揮発性が低い（長期的安定） : b: バックアップ用磁気テープや光学メディア （オフライン保管され、変化しない）。 したがって、適切な保全順序は d → c → a → b であり、正解は エ です。 ア: HDD（不揮発性）をRAM（揮発性）より先に保全しようとしており、保全作業中にRAMデータが上書き消失するリスクがあります。 イ: 最も安定したバックアップテープから着手しており、揮発性の原則に反します。 ウ: HDDをRAMより優先して保全しており不適切です。

外部から侵入されたサーバ及びそのサーバに接続されていた記憶媒体を調査対象としてデジタルフォレンジックスを行うことになった。このとき，稼働状態にある調査対象のサーバ，記憶媒体などから表に示す a〜d を証拠として保全する。保全の順序のうち，揮発性の観点から最も適切なものはどれか。 | 記号 | 証拠データ・記憶領域 | | :---: | :--- | | a | ハードディスクドライブ（HDD）などの補助記憶装置内のデータ | | b | バックアップ用磁気テープ内のデータ | | c | ルーティングテーブル，ARPキャッシュ，プロセス一覧 | | d | 主記憶（RAM）のメモリ空間内のデータ |

問題画像
出典令和5年度 秋期 エンベデッドシステムスペシャリスト試験 午前Ⅱ 問16
ア
a → c → d → b
イ
b → c → a → d
ウ
c → a → d → b
エ
d → c → a → b