正答2
解説
正解は2です。
ディジタルフォレンジックスは、事故や犯罪が起きたあとに、電子的な証拠を集めて分析し、法的に通用する形で示す取組みです。
手順は、証拠を集める収集、データを取り出す検査、意味を明らかにする分析、結果をまとめる報告に分けられます。
【選択肢別解説】
1：× ログを集約してリアルタイムに相関分析し、不正アクセスを検出するのは、SIEM（Security Information and Event Management）による監視です。
事後に証拠を調べるフォレンジックスの手順ではありません。
2：○ 押収したディスクを解析し、削除されたログファイルを復元して痕跡を見つけるのは、収集した証拠からデータを取り出す検査の工程に当たります。
3：× 電子メールの暗号化は、情報漏えいを防ぐための予防策です。
事後に証拠を調査する手順ではありません。
4：× ハッシュ値と脅威情報を照合してマルウェアを見つけるのは、実行時の検知による防御策です。
フォレンジックスの手順ではありません。
【ポイント】
フォレンジックスは「事後の証拠調査」であり、監視や予防とは区別されます。
証拠の改変を防ぐため、原本ではなく複製したディスクを解析するのが基本です。