網路攻擊與防禦實務
要從發生資安事件的伺服器收集調查用的證據。依照從容易遺失者開始收集（揮發性由高到低）的思維，最適當的順序是下列何者？
- A記憶體內容與目前的網路連線狀態 → 磁碟內容 → 保管在外部的備份與封存資料
- B保管在外部的備份與封存資料 → 磁碟內容 → 記憶體內容與目前的網路連線狀態
- C磁碟內容 → 關閉電源後，記憶體內容與目前的網路連線狀態 → 保管在外部的備份
查看答案與解析
正確答案：A. 記憶體內容與目前的網路連線狀態 → 磁碟內容 → 保管在外部的備份與封存資料
作為數位鑑識收集證據之指引的RFC 3227（2002年），建議從容易遺失者開始依序收集。CPU的暫存器與快取、記憶體內容、執行中的程序與網路連線狀態，會隨時間經過或關閉電源而遺失，因此最先收集。記憶體中可能留有不會留在磁碟上的惡意程式，或已解密狀態的資訊。磁碟內容在之後複製再調查，保管在外部的備份與封存資料不易變化，放在最後也無妨。
- A. 正確。從容易遺失的記憶體與網路狀態開始收集。
- B. 若從不易變化者開始收集，記憶體等證據會在這段期間遺失。
- C. 關閉電源後，記憶體內容與連線狀態就會遺失。