情報セキュリティ
基本情報技術者試験｜G社で不正アクセスが疑われる端末について、後日の詳細な原因調査や法的手続でも証拠として使えるよう、ディスク内のデ…
G社で不正アクセスが疑われる端末について、後日の詳細な原因調査や法的手続でも証拠として使えるよう、ディスク内のデータを保全することになった。デジタルフォレンジックの観点で、保全作業として最も適切なものはどれか。
ア調査に使いそうなファイルだけを通常のファイルコピーで取得し、残りのデータは保全対象から外す。
イ後の解析を進めやすくするため、保全に先立ち端末上の不要ファイルを削除して整理する。
ウ空き領域や削除済み領域も含めビット単位で複製し、ハッシュ値で原本との一致を立証する。
エ原本ディスク上でそのまま調査を進め、必要なファイルを開いて内容を確認していく。
正解
ウ．空き領域や削除済み領域も含めビット単位で複製し、ハッシュ値で原本との一致を立証する。
デジタルフォレンジックでは証拠の完全性が命であり、原本を改変しないことが原則である。削除済み領域や空き領域も含むディスク全体をビット単位で複製し、ハッシュ値（メッセージダイジェスト）で原本と複製が同一であることを証明する。以後の解析は複製に対して行う。
?選択肢ごとの解説
ア ×使いそうなファイルだけの通常コピーでは、削除済みデータや断片など重要な証拠を取りこぼし、証拠の網羅性を欠く。
イ ×保全前にファイルを削除・整理すると原本が改変され、証拠としての完全性と信頼性が失われる。
ウ ○デジタルフォレンジックでは証拠の完全性が命であり、原本を改変しないことが原則である。削除済み領域や空き領域も含むディスク全体をビット単位で複製し、ハッシュ値（メッセージダイジェスト）で原本と複製が同一であることを証明する。以後の解析は複製に対して行う。
エ ×原本上で調査やファイルを開く操作を行うとタイムスタンプ等が変化し原本が汚染されるため、証拠能力を損なう。
情報セキュリティの他の問題
H社では、各種機器のログやアラートを夜間・休日も含めて常時監視し、攻撃の兆候を早期に検知して一次対応へつなげる専門チームの新…I社の一次対応担当者が、調査の結果『顧客の個人情報が外部に流出した可能性が高い重大インシデント』と判断した。自分の権限では公…J社のサービスで、利用者の個人データが外部に漏えいした事実が確認された。J社は対応方針を検討している。情報漏えい発覚時の対外…K社のインシデント調査で、原因が『公開サーバに長期間適用されていなかった既知の脆弱性を突かれたこと』と特定された。再発防止策…L社では、インシデント対応手順書は整備済みだが、実際に事故が起きた際に手順どおり関係者が連携して動けるか不安がある。手順書の…G社では情報セキュリティインシデントが発生した際、各部署が個別に対応し、被害状況の集約や対外的な情報発信が混乱した経緯がある…A社の運用担当者の元へ、監視ツールから『深夜に経理サーバから海外IPへ大量のデータ送信があった』という1件のアラートが届いた…B社の受注処理を担う基幹サーバ1台がマルウェアに感染していると分析で判明した。このサーバを止めると当日の受注業務が完全に停止…
この問題の「深掘り・誤答の完全解説・覚え方」は、登録すると読めます。
基本情報技術者試験は全4,036問。公開しているのはその一部で、登録すると残りも一問ごとにAI解説つきで解けます。SRS暗記カード・全真模試・弱点診断まで。
登録は1分・クレジットカード不要。無料のまま練習・暗記カード・模試まで使えます。
作成・校閲：ukamiru編集部 · 基本情報技術者試験 過去問 · fe-b-sec-0127