解説

ディジタルフォレンジックスは、不正アクセスや情報漏えいなどのインシデントが発生した際に、原因究明や法的証拠として用いるために、コンピュータやネットワーク機器に残るデータ（ログ、ファイル、メモリ、ディスク上の痕跡など）を収集・保全・分析し、その結果を報告する一連の活動です。証拠の改ざんを防ぐため、ハッシュ値による完全性の確保や、誰がいつ証拠を扱ったかを記録する証拠保全の連鎖（chain of custody）が重視されます。本問は「収集・検査・分析・報告」の各手順のいずれかに該当するものを選ぶもので、選択肢bの「ディスクを解析し、削除されたログファイルを復元することによって、不正アクセスの痕跡を発見する」は、保全したディスクから消去された証拠を復元して解析する典型的なフォレンジック作業（検査・分析の段階）に該当するため正解です。攻撃者は痕跡を消すためにログを削除することが多く、削除データの復元による痕跡発見は、フォレンジックの中核的な技術といえます。

なぜ他の選択肢は違うのか

選択肢 ア

「サーバとネットワーク機器のログをログ管理サーバに集約し、リアルタイムに相関分析して不正アクセスを検出する」はSIEMによるリアルタイム監視・検知の説明です。インシデントを「リアルタイムで検知する」点に主眼があり、インシデント発生後に証拠を収集・分析して原因を究明するフォレンジックとは目的とタイミングが異なります。

選択肢 ウ

「電子メールを外部に送る際に本文や添付ファイルを暗号化して情報漏えいを防ぐ」は、漏えいを未然に防止する暗号化（暗号化メールや情報漏えい対策）の予防的措置です。すでに発生したインシデントの証拠を解析して原因を明らかにするフォレンジックとは、目的が事前の予防か事後の調査かという点で根本的に異なります。発生を未然に防ぐ予防的な対策であり、すでに起きたインシデントの証拠を解析して原因を究明するフォレンジックとは時間軸が逆です。

選択肢 エ

「プログラム実行時にファイルのハッシュ値と脅威情報を突き合わせてマルウェアを発見する」はアンチウイルスソフトやEDRによるマルウェア検知の説明です。マルウェアを検知・防御する仕組みであり、インシデント後に証拠を収集・分析・報告するというフォレンジックの手順には該当しません。検知と事後調査は別の活動です。

解くときのポイント

ディジタルフォレンジックス＝インシデント後に証拠（ログ・削除データ等）を収集・保全・分析・報告する事後対応。SIEM（リアルタイム検知）やアンチウイルス（予防・検知）との時間軸・目的の違いで判別する。