解説

デジタルフォレンジクスにおける証拠保全は「揮発性の高いものを優先して保全する」が原則です（RFC 3227準拠）。揮発性順位（高い順）：CPU レジスタ・キャッシュ → ARPキャッシュ → ルーティングテーブル（動的） → プロセス情報 → ネットワーク接続情報 → メモリ（RAM） → スワップ/一時ファイル → ハードディスク → リモートログ → アーカイブ。ARPキャッシュを取得した後に保全すべき最優先は「動的に追加されたルーティングテーブル」です。静的なルーティングテーブルと異なり、動的エントリはOSPFやBGP、VPNなどで動的に学習されたものでメモリ上にのみ存在し、電源OFFで消滅します。

なぜ他の選択肢は違うのか

選択肢 イ

「HDDにある個人情報を格納したテキストファイル」はHDD/SSDに書き込まれた不揮発性データです。電源を切っても消えないため、後からでも取得可能です。揮発性データを先に保全した後に対応すればよい。

選択肢 ウ

「VPNサーバ内のログ」はVPNサーバという別のシステム上のデータです。調査対象PCの電源OFFとは無関係に外部サーバに保存されており、後からでも取得できます。

選択肢 エ

「システムログファイル」は通常HDD/SSDに書き込まれた不揮発性データです。syslogやWindowsイベントログはディスクに記録されるため、電源を切っても消えません。

解くときのポイント

証拠保全の優先順位＝「電源を切ると消えるものを先に」。揮発性高い順：レジスタ→ARPキャッシュ→動的ルーティングテーブル→プロセス→RAM→HDD。「HDDのファイル」「外部サーバのログ」は不揮発性なので後回しでOK。