解説

デジタルフォレンジックスにおける証拠保全は、「揮発性の高い（電源を切ると失われやすい）データから順に保全する」という原則に従います。一般的な揮発性の順序は：①CPUレジスタ・キャッシュ → ②メインメモリ（RAM）→ ③ネットワーク接続情報・ルーティングテーブル → ④実行中のプロセス → ⑤ハードディスク（不揮発性）の順です。表中のa〜dは、a：ハードディスクの内容（不揮発性・最も揮発性低い）、b：ハードディスクに接続された記憶媒体（不揮発性）、c：ネットワーク接続情報（揮発性中程度）、d：メインメモリの内容（揮発性高・電源断で消失）に対応していると考えられます。正解の「d→c→a→b」は揮発性の高い順（メモリ→ネットワーク情報→ハードディスク→記憶媒体）に保全する手順を示しています。証拠の完全性確保のためハッシュ値の記録も必要です。

なぜ他の選択肢は違うのか

選択肢 ア

「a→c→d→b」の順序は、揮発性の低いハードディスク（a）から先に保全することになり、その間にメインメモリ（d）の内容が失われる可能性があります。揮発性の高いデータ（メモリ）を後回しにする順序は、デジタルフォレンジックスの基本原則に反しています。

選択肢 イ

「b→c→a→d」の順序も不適切です。記憶媒体（b）やハードディスク（a）などの不揮発性データを先に保全し、最後にメインメモリ（d）を保全しようとしますが、その時点ではサーバの電源状態によってメモリ内容がすでに失われている可能性があります。

選択肢 ウ

「c→a→d→b」の順序は、ネットワーク接続情報（c）を先に保全する点は適切ですが、次にハードディスク（a）を保全しメインメモリ（d）を後回しにしています。メインメモリはネットワーク情報より揮発性が高く（電源断で即座に消失）、ネットワーク情報より先に保全すべきです。

解くときのポイント

フォレンジックス保全の順序＝「揮発性の高い順」：メインメモリ（RAM）→ネットワーク接続情報→ハードディスク→外部記憶媒体。電源を切ると消えるものを最優先で保全。証拠の連鎖（chain of custody）の確保も重要。「揮発性＝電源断で消える度合い」で判断。