インシデント発生時の証拠保全の順序

L社は，部品の受発注システムを運用する従業員250名の製造業者である。ある日，受発注システムのLinuxサーバ（以下，サーバMという）から，深夜に外部の不審なIPアドレスへの通信が繰り返されていることを，ネットワーク監視の担当者が発見した。L社のCSIRTは，サーバMがマルウェアに感染している可能性があると判断し，証拠保全を行うことにした。

L社のCSIRTが定めている証拠保全手順書の抜粋を図1に示す。

図1　証拠保全手順書（抜粋）

1. 基本方針
 (1) 証拠の収集が完了するまで，対象機器の電源を切らない。
     （攻撃者が停止処理を改ざんして証拠を消すおそれがあるため）
 (2) 対象機器上のコマンドは改ざんされているおそれがあるので，
     CSIRTが用意した読取り専用の外部媒体のツールを使用する。
 (3) 対象機器のシステム時刻とUTCとの差を記録する。
 (4) 保全は，RFC 3227 の Order of Volatility に従い，
     揮発性の高いものから低いものの順に行う。
     同じ段階に属する情報は，状態が変わりやすい
     ネットワーク接続関係，プロセス，メモリ全体の順に取得する。

2. 保全作業（記載順は実施順序ではない）
 ① メモリ全体のダンプを取得する。
 ② ネットワーク接続の一覧，ARPキャッシュ及びルーティングテーブルを取得する。
 ③ 実行中のプロセスの一覧を取得する。
 ④ メモリ上に置かれる一時ファイルシステム（tmpfs）の内容を取得する。
 ⑤ ディスク全体の複製（イメージ）を取得する。
 ⑥ ログ集約サーバに転送されているサーバMのログを，バックアップする。

CSIRTのメンバで情報処理安全確保支援士（登録セキスペ）であるNさんは，図1の基本方針に従って，①〜⑥の実施順序を決めることになった。なお，ログ集約サーバはサーバMとは別の機器であり，サーバMのログを90日間保存している。