稼働中サーバの証拠保全
稼働中の社内ファイルサーバがマルウェアに感染した疑いがある。攻撃者の通信先や侵入の手口を後で調査できるよう，証拠を保全することにした。最初に行う作業として，最も適切なものはどれか。
- ア直ちに電源ケーブルを抜いてサーバを停止し，ディスクを取り外してディスクイメージを取得する。
- イサーバ上でウイルス対策ソフトのフルスキャンを実行し，感染しているマルウェアを特定する。
- ウ電源を入れたまま，信頼できる外部媒体のツールを用いて，メモリの内容，実行中のプロセス，ネットワーク接続などの情報を取得する。
- エ外部のログサーバに転送済みのサーバのログを最初に複製し，改ざんされないように保管する。
正解と解説を見る
正解 ウ
この問題の基礎知識
- デジタルフォレンジックスでは，証拠を揮発性の高いもの（メモリ，実行中のプロセス，ネットワーク接続など）から順に収集する。電源を切るとメモリ上の情報は失われる。
- 侵害されたシステム上のプログラムは改ざんされている可能性があるので，信頼できる外部媒体のツールを用いる。また，分析より収集を先に行い，ファイルのアクセス日時を変えるような操作は避ける。
- 外部のログサーバに転送済みのログやディスクの内容は，メモリ上の情報に比べて揮発性が低く，サーバの状態が変わっても失われにくい。
ア直ちに電源ケーブルを抜いてサーバを停止し，ディスクを取り外してディスクイメージを取得する。
電源を切ると，メモリ上のプロセスやネットワーク接続の情報など，揮発性の高い証拠が失われる。証拠の収集が終わるまではシャットダウンしないことが原則である。
イサーバ上でウイルス対策ソフトのフルスキャンを実行し，感染しているマルウェアを特定する。
全ファイルを走査するとファイルのアクセス日時などが変わり，証拠が損なわれる。分析より収集を先に行い，システムの全ファイルのアクセス日時を変えるようなプログラムは実行しない。
ウ電源を入れたまま，信頼できる外部媒体のツールを用いて，メモリの内容，実行中のプロセス，ネットワーク接続などの情報を取得する。正解
証拠は揮発性の高いものから順に収集し，メモリやプロセス，ネットワーク接続の情報は最も失われやすい。また，侵害されたシステム上のプログラムは信頼せず，保護された媒体のツールを使う。
エ外部のログサーバに転送済みのサーバのログを最初に複製し，改ざんされないように保管する。
外部のログサーバにあるログは，サーバのメモリやディスクよりも揮発性が低く，サーバの状態が変わっても失われにくい。揮発性の高い証拠より先に収集する必要はない。
検証用の出典出典照合済み
RFC 3227 Guidelines for Evidence Collection and Archiving ／ NIST SP 800-86 Guide to Integrating Forensic Techniques into Incident Response照合の根拠（4 件）
- ウ（正解）: メモリやプロセステーブルなど揮発性の高いものから収集する。エ（誤り）: 外部のログ（remote logging）はディスクよりも揮発性が低い
When collecting evidence you should proceed from the volatile to the less volatile. Here is an example order of volatility for a typical system. - registers, cache - routing table, arp cache, process table, kernel statistics, memory - temporary file systems - disk - remote logging and monitoring data that is relevant to the system in question
RFC 3227 · 2.1 Order of Volatility（新しいタブで開きます） - ア（誤り）: 証拠の収集が終わるまでシャットダウンしない
Don't shutdown until you've completed evidence collection. Much evidence may be lost and the attacker may have altered the startup/shutdown scripts/services to destroy evidence.
RFC 3227 · 2.2 Things to avoid（新しいタブで開きます） - ウ（正解）: 保護された媒体のツールを使う。イ（誤り）: 全ファイルのアクセス日時を変えるプログラム（フルスキャン）は実行しない
Don't trust the programs on the system. Run your evidence gathering programs from appropriately protected media (see below). - Don't run programs that modify the access time of all files on the system (e.g., 'tar' or 'xcopy').
RFC 3227 · 2.2 Things to avoid（新しいタブで開きます） - ア（誤り）・ウ（正解）: ネットワーク接続などの揮発性データは電源を切ると失われる
Volatile data refers to data on a live system that is lost after a computer is powered down, such as the current network connections to and from the system.
NIST SP 800-86 · 5.1 OS Basics（新しいタブで開きます）