問15 証拠保全の順番

ほかの選択肢が違う理由

• イ増設した HDD のファイルは、電源を切っても残ります。急いで取る必要は、メモリの上の情報より低くなります。
• ウVPN サーバのログは、調査対象の PC の外にあります。PC の電源を切っても消えません。
• エシステムログのファイルはディスクに書かれていて、電源を切っても残ります。

仕組み

保全では、取った物のハッシュ値を記録しておき、あとで改ざんしていないことを示せるようにします。いつ、だれが、どう扱ったかの記録 (保管の連鎖) も残します。

電源をすぐ抜くか、メモリを取ってから止めるかは、場面によって判断が分かれます。メモリの中にしかいないマルウェアもいるので、消える物を先に取る順番を前もって決めておくことが大切です。