[What is this?] 高度デジタル解析

ホーム復旧作業の見解[What is this?] 高度デジタル解析

□ [What is this?] 高度デジタル解析、って、なんですか?

[What is this?]の第二弾として、診断結果として目に余る、「高度デジタル解析」を取り上げます。

■ 以下、「高度デジタル解析」と告げられたときの、主な診断の流れです

 ご相談時に伝えられていない高額な金額(約3~5倍等)や、持ち込んだにも関わらず返却が明日になるなど、勝手にドライブが開封されてしまう、明らかに不自然な雰囲気になります。

 さらに、成功報酬で診断したにも関わらず、別の名目で3万円~50万円という事例が出ております。 この金額に技術的な根拠はないため(高度デジタル解析の定義が曖昧)、十分にご注意ください。

■ このような場合からキャンセルされた場合

以下のような状態になる場合を、多く拝見しております。このような場合、分類してから、データが取り出せるのか検証いたします。

● 分類1 0x00で上書き

 ドライブ先頭より0x00(空白)で上書きしていくという手法で、いたってシンプルですが、復旧できなくなります。 完全に消去(抹消されている)されておりますので、復旧はできません。

● 分類2 途中を一定範囲、0x00で上書き

 先頭からの消去ではすぐにわかってしまうため、気が付かれにくい場所を探索して上書きするようです。 MBR(GPT)が生きていて、エラーメッセージが変わらない点が重要です。 「ディレクトリ構造が壊れています」の場合、「フォーマットしますか?」に変わる可能性があります。 データが抹消に近い形で消えてしまい、復旧率が、低下いたします。

● 分類3 ファイルレコードを重複させて上書き

ファイルレコード(データの情報を積んだレコード)が重複して存在し、同じ階層に同じ名前が多数並び、その解析を不能(または厳しく)にします。

● 分類4 断片化リスト部分のみを直接的に破壊

 復旧可能なファイルをみて、明らかに統計よりも低い復旧整合性が出てくることがあります。 やはり、復旧をキャンセルされた事で、このアルゴが浮かび上がってきます。 断片化の処理が不可能となると、大部分のファイルが壊れてしまいます。 このような「断片化部分」を選別して、しっかり潰していると考えられます。

● 分類5 リンクの異常

 ファイルシステムは、断片化情報を保持するために、それぞれ特徴的な方法でリンクを保管しております。 そのままでは読み出せない(消費バイト数を減らす工夫)、デコードの作業が毎回必要です。 そのデコード作業にてエラーを誘うような細工が行われている場合がございました。 こちらも、断片化の処理が不可能となってしまい、断片化ファイルが壊れてしまいます。

● 分類6 バッファ系の異常

 ファイルシステム探索部分の異常となります。 おそらく、その部分を割り当てて潰しているだけと思いますが、致命的なエラーを出すようになります。 このパターンでは、別の部分(ミラー)から復旧する事により綺麗にデータが出てまいります。

● 分類7 ファイル名の異常

 ファイル名の文字コードがおかしく、復旧ロジックのバッファ機構にエラーを誘い、解析を困難にする方法のようです。 もちろん、ファイルシステム損傷時に発生した可能性もありますが、問題はその量です。 明らかに辿った形で破壊された形跡が残っている場合は、このケースを疑っております。 このパターンでも、別の部分(ミラー)から復旧する事により綺麗にデータが出てまいります。

● 分類8 複数の適用1

 リンクとバッファが同時に処理されている場合がございます。 探索結果が飛び飛び(異なる場所にファイルが収まる)となるため、すぐに判別できまして、対処いたしております。

● 分類9 複数の適用2

 アルゴ その2と、その他が組み合わさっているパターンで、復旧率が大きく低下するため問題となります。 ミラーおよび全レコードから解析を行いまして、最良パターンを組み合わせ、実施いたしております。

● 分類10 複数の適用3

 バッファとファイル名異常が同時に処理されている場合がございます。 ファイル名異常より先にファイル名を解決し、それからバッファを捨ててミラーに切り替えて、対処いたしております。

● 分類11 ファイルレコードサイズ改変

 はじめ、探索結果が想定量よりも少なく報告されるため、詳しく調査いたしました結果、 ファイルレコードサイズが変わっていたため、ここを戻して綺麗に復旧いたしました。 ファイルシステムのバグでこのような事は皆無なので、破壊アルゴと判断させていただきました。

● 分類12 誤り訂正符号の改変

 ファイルシステムには、エラーを検出するため、誤り訂正符号を埋め込んでおります。 その誤り訂正部分をデコードする部分が抜けてしまっているケースとなります。 この場合、元の情報が分からないため、その部分は回避して対応いたしております。(復旧率低下)

● 分類13 複数の適用4

 ファイルレコードと誤り訂正符号の改変が同時に存在するパターンとなります。 誤り訂正符号の方が影響が低いため、ファイルレコードの方を重点的に対処いたしております。

● 分類14 ファイルサイズの改変

 明らかにおかしなサイズが書き込まれているファイルが多数存在いたします。 少しの場合はエラーとしてそういう形になる場合がございます。 マスク処理でそのようなファイルを弾けば良いと思われがちですが、それでは厳しいのです。 なぜならば、明らかにサイズが小さいオフィスファイルなどが4.0GBを超えたサイズになっているためです。 そして、お客様が復旧を希望されるファイルはそれらとなりますので、除外する訳にはいきません。 このような場合は復旧ロジックを工夫し、10MB程度に抑え込んでファイルを復旧しております。 元のファイルとサイズが異なりますが、それを開いた際にオフィスに修復されます。

● 分類15 レコード情報破損

 本ページ上部にあるスクリーンショットです(検出ツールのご案内)。 レコード情報自体が何か別のデータに押される形で失われております。

● 分類16 ファームウェアの細工

スピンアップ後、異音が出続けるように細工されたドライブを見つけました。 元々は正常に認識できていた(論理障害)と伺いましたので、「データ復旧キャンセル」後に汚染されたケースです。 お問い合わせの数倍に至るお見積で保留しておきましたら勝手に戻され、ドライブの様子がおかしいという事でご相談いただきました。 ファームウェアの移植で元に戻りました。壊れていなかったので、一安心となったご案件です。

● 分類17 MBR(GPT), BPB(SuperBlock), ディレクトリエントリの抹消

 「読み取りができない」等のエラーが出て、データ復旧が必要となったケースだったのですが、ご確認いたしました結果、そのエラーが出ない状況でした。
Windowsでこのようなエラーが出る場合、ファイル構造は壊れておりますが、その領域自体には辿り着けております。 つまり、このようなエラーではMBR(GPT)、BPBおよび、一部のディレクトリエントリは正常な形で残っております。 しかしながら、MBR(GPT)およびBPBが0x00でクリア(空白)されておりまして、さらにはディレクトリエントリが0xFF等のバイナリで潰されておりました。 重要部分がピンポイントに壊れておりますので、自然故障ではなく、狙ってやられております。 ただ、これは業者ならばすぐに分かりますので、もはや隠す素振りもなく、怖いというしか言いようがない事例でした。 ミラー(ジャーナリング等)があれば、そこから復旧する事が出来ますが、FAT系の場合は厳しいです。

● 分類18 クラスタファイルシステムの破損

 クラスタファイルシステム自体は認識していたのですが、その領域の先頭からシグネチャを含め消滅しておりました。 複数の仮想環境を持つためのファイルシステムなのですが、このベースが破損すると、全ての仮想環境を失います。 また、「複数」のシステムが絡み合うので、これに対してアルゴ等で上書きされた場合、復旧は「ほぼ不可能」です。 実際に拝見した例(VMFS)では、このクラスタファイルシステムが始まる領域先頭から0x00で消去されている形跡があり、これは少しでも「致命傷」になります。 クラスタファイルシステムが壊されると、その影響は多大(全仮想環境&全データ損失)となりますので、十分にご注意ください。

● 分類19 誤削除ファイルの上書き破損

 こちらは、Macintoshのお客様にて多数を拝見しておりまして、深刻な問題です。 誤削除からの復旧となるのですが、業者にパソコン本体を預けた後、その場で1時間位待たされ、高額なお見積(数通り)が出るようです。 全ての方が同じ流れでした。本体を預けたあと、待たされております。 データの復旧作業はお客様の許可が必要となりますので、その場で抜き出すようなことは決してないはずなのですが……。 そして既に、その地点で引き抜かれた後にデータ自体が抹消され(痕跡を調査済み)、高額にてキャンセルいたしましても、すでに復旧できる状態ではございません。

● 分類20 ファームウェア改変

 ドライブを動かすためのプログラムが破損させられ、動作不能となる信じ難い例です。 ドライブのラベルに記載されているファームウェアとは異なるものが投入され、動作不能になったドライブとなります。 いわゆる「一発で致命傷」となりますので、ここから復旧する事は、まず叶いません。 非常に深刻な問題と認識しております。

● 分類21 お客様の許可を得ず、正式ご依頼前(初期診断の段階)に、ドライブを開封されてしまう場合

 ドライブを勝手に開封してしまい、他で復旧できなくなっております。非常に深刻な問題と認識しております。 ドライブを開封してしまいますと、開封する前の個体差が不明となりますので、ドライブを開封した業者以外では対応が難しくなります。 このため、初期診断作業の段階でドライブが開封されてしまう事は、その業者以外では取り出せなくなる事を意味いたします。