解説

ディジタルフォレンジクスにおいてマルウェア感染PCの証拠保全は「揮発性の高い情報から順に」行う原則がある。ARPキャッシュ取得後に最優先で保全すべきは「動的に追加されたルーティングテーブル」（a：正解）。揮発性情報の優先順位（高→低）：①CPUレジスタ/キャッシュ、②メモリ内容、③ARP/ルーティングテーブル（電源断で消失）、④実行中プロセス一覧、⑤開いているポート・ネットワーク接続情報、⑥ログファイル、⑦HDDデータ。ルーティングテーブルはネットワーク構成（マルウェアの通信先・追加されたバックドアルート）を把握するための重要情報で、電源断後に消失する揮発性情報に分類される。一方、HDDのファイルやVPNサーバログは不揮発性・外部サーバに保存されているため、後からでも取得できる。

なぜ他の選択肢は違うのか

選択肢 イ

「増設HDDの個人情報を格納したテキストファイル」はHDD内の不揮発性ファイルであり、電源を切っても消失しない情報。揮発性の高い情報（メモリ・ARP・ルーティング等）を先に保全した後、HDDのイメージ取得を行うのが標準的なフォレンジクス手順。

選択肢 ウ

「VPN接続情報を記録しているVPNサーバ内のログ」は外部サーバ（VPNサーバ）に保存されており、調査対象PCの電源状態に影響を受けない。外部サーバのログは別途対応が可能で、PC本体の揮発性情報（ルーティングテーブル等）の方が先に保全すべき優先度が高い。

選択肢 エ

「システムログファイル」はHDD内に保存されている不揮発性の情報であり、電源断後も消失しない。ARPキャッシュ取得後の次の優先事項としては揮発性の高いルーティングテーブルを先に保全し、その後にHDD内のシステムログを保全するのがフォレンジクス的に正しい手順。

解くときのポイント

証拠保全の揮発性順序（RFC 3227）: CPU/レジスタ > ネットワーク接続（ARP/ルーティング）> メモリ > スワップ/ページ > ディスク > 外部媒体 > リモートログ。「揮発性が高いほど優先」。