サイバー攻撃と防御の実務
インシデントが起きたサーバから、調査のための証拠を集める。証拠を失われやすい順(揮発性の高い順)に集めるという考え方に沿った順序として、最も適切なものはどれか。
- Aメモリの内容と現在のネットワーク接続の状態 → ディスクの内容 → 外部に保管されたバックアップやアーカイブ
- B外部に保管されたバックアップやアーカイブ → ディスクの内容 → メモリの内容と現在のネットワーク接続の状態
- Cディスクの内容 → 電源を切ってから、メモリの内容と現在のネットワーク接続の状態 → 外部に保管されたバックアップ
答えと解説を見る
正解：A. メモリの内容と現在のネットワーク接続の状態 → ディスクの内容 → 外部に保管されたバックアップやアーカイブ
デジタルフォレンジックで証拠を集めるときの指針であるRFC 3227(2002年)は、失われやすいものから順に集めることを勧めています。CPUのレジスタやキャッシュ、メモリの内容、実行中のプロセスやネットワークの接続の状態は、時間がたったり電源を切ったりすると失われるので、最初に集めます。メモリには、ディスクに残らないマルウェアや、復号された状態の情報が残っていることがあります。ディスクの内容はその後に複製して調べ、外部に保管されたバックアップやアーカイブは、変わりにくいので最後でかまいません。
- A. 正しい。失われやすいメモリやネットワークの状態から集めます。
- B. 変わりにくいものから集めると、その間にメモリなどの証拠が失われます。
- C. 電源を切ると、メモリの内容や接続の状態は失われてしまいます。