[What is this?] 高度デジタル解析

ホーム復旧作業の見解[What is this?] 高度デジタル解析

□ Dear blockchain with database...
After requesting a data recovery firm in japan, why is the drive often opened and come back? eg, digital forensics (initial diagnosis?) will be charged, the offered HDD will be opened without permission, something that can be recovered to some degree will be ruined! There are many cases that are hard to believe!
□ データ復旧業者にご依頼後、ドライブが開封されて返却されるケースが多発しております。 身に覚えのないデジタルフォレンジック分(初期診断?)が請求されたり、依頼したハードディスク本体が勝手に開封されてしまう、ある程度は復旧できたものが壊滅(ニュアンス的には「destroy」ではなく「ruin」です)等、信じがたいケースが多く出てしまっております。

■ ご相談いただきました状況について:

 1, データが、ある程度は出ると言われ(または確実に復旧可能と言われ)そのまま正式に依頼しないと、お客様へ戻す前に、それらデータを引き抜き、以下の分類1~21で処理され、他での復旧を困難にしてから、手元に戻されることになります。

■ なお、弊社にて開発しておりますフリーソフトウェアでも傷の位置は正確に出せます。 [>> ダウンロード]
◇ それゆえに、認識可能なドライブが分解されてしまい「1枚目のプラッタに傷がある」などは、考えられません。

 2, 結局こうなると、データを取り戻すには「元の業者に戻すしか手段が無く」、……先に引き抜いておいた正常なデータを「復旧した」として手渡すんです。案外、これが現実です。

■ 分類1~21

● 分類1 0x00で上書き

 ドライブ先頭より0x00(空白)で上書きしていくという手法で、シンプルですが復旧できなくなります。
※ 完全に消去(抹消されている)されておりますので、この場合は復旧できません。

● 分類2 途中を一定範囲、0x00で上書き

 調査の結果、先頭からの消去ではすぐに分かってしまうため、気が付かれにくい場所を探索して上書きする仕組みです。 MBR(GPT)が生きておりますので、エラーメッセージが変わらない点が重要となります。 ※ ただ、「ディレクトリ構造が壊れています」の場合、「フォーマットしますか?」に変わる可能性あり。
※ 抹消に近い形で消えておりますので、復旧率が低下いたします。

● 分類3 ファイルレコードを重複させて上書き

 ファイルレコード(データの情報を積んだレコード)が重複して存在してしまい、同じ階層に同じ名前が多数並んで、解析を不能(または厳しく)にしてしまいます。

● 分類4 断片化リスト部分のみを直接的に破壊

 復旧可能なファイルを探索後、明らかに統計よりも低い復旧整合性が出てくるケースがございます。 やはり、一度復旧をキャンセルされたとの事で、このアルゴが浮かび上がってきます。 断片化の処理が不可能となってしまい、断片化ファイルが壊れてしまいます。 断片化部分を選別して潰していると思われ、この場合はミラーを含めて探索する方法に切り替えております。 ※ 破壊する側も、逃げ道としてミラーには手を出していない場合が多いです。
※ 万一の場合も、オリジナルから出せる方法が残っていれば、それが逃げ道となるためと考えられます。

● 分類5 リンクの異常

 ファイルシステムは、断片化情報を保持するために、それぞれ特徴的な方法でリンクを保管しております。 そのままでは読み出せない(消費バイト数を減らす工夫)、デコードの作業が毎回必要です。 そのデコード作業にてエラーを誘うような細工が行われている場合がございました。 こちらも、断片化の処理が不可能となってしまい、断片化ファイルが壊れてしまいます。

● 分類6 バッファ系の異常

 ファイルシステム探索部分の異常となります。 おそらく、その部分を割り当てて潰しているだけと思いますが、致命的なエラーを出すようになります。 このパターンでは、別の部分(ミラー)から復旧する事により綺麗にデータが出てまいります。

● 分類7 ファイル名の異常

 ファイル名の文字コードがおかしく、復旧ロジックのバッファ機構にエラーを誘い、解析を困難にする方法のようです。 もちろん、ファイルシステム損傷時に発生した可能性もありますが、問題はその量です。 明らかに辿った形で破壊された形跡が残っている場合は、このケースを疑っております。 このパターンでも、別の部分(ミラー)から復旧する事により綺麗にデータが出てまいります。

● 分類8 複数の適用1

 リンクとバッファが同時に処理されている場合がございます。 探索結果が飛び飛び(異なる場所にファイルが収まる)となるため、すぐに判別できまして、対処いたしております。

● 分類9 複数の適用2

 アルゴ その2と、その他が組み合わさっているパターンで、復旧率が大きく低下するため問題となります。 ミラーおよび全レコードから解析を行いまして、最良パターンを組み合わせ、実施いたしております。

● 分類10 複数の適用3

 バッファとファイル名異常が同時に処理されている場合がございます。 ファイル名異常より先にファイル名を解決し、それからバッファを捨ててミラーに切り替えて、対処いたしております。

● 分類11 ファイルレコードサイズ改変

 はじめ、探索結果が想定量よりも少なく報告されるため、詳しく調査いたしました結果、 ファイルレコードサイズが変わっていたため、ここを戻して綺麗に復旧いたしました。 ファイルシステムのバグでこのような事は皆無なので、破壊アルゴと判断させていただきました。

● 分類12 誤り訂正符号の改変

 ファイルシステムには、エラーを検出するため、誤り訂正符号を埋め込んでおります。 その誤り訂正部分をデコードする部分が抜けてしまっているケースとなります。 この場合、元の情報が分からないため、その部分は回避して対応いたしております。(復旧率低下)

● 分類13 複数の適用4

 ファイルレコードと誤り訂正符号の改変が同時に存在するパターンとなります。 誤り訂正符号の方が影響が低いため、ファイルレコードの方を重点的に対処いたしております。

● 分類14 ファイルサイズの改変

 明らかにおかしなサイズが書き込まれているファイルが多数存在いたします。 少しの場合はエラーとしてそういう形になる場合がございます。 マスク処理でそのようなファイルを弾けば良いと思われがちですが、それでは厳しいのです。 なぜならば、明らかにサイズが小さいオフィスファイルなどが4.0GBを超えたサイズになっているためです。 そして、お客様が復旧を希望されるファイルはそれらとなりますので、除外する訳にはいきません。 このような場合は復旧ロジックを工夫し、10MB程度に抑え込んでファイルを復旧しております。 元のファイルとサイズが異なりますが、それを開いた際にオフィスに修復されます。

● 分類15 レコード情報破損

 本ページ上部にあるスクリーンショットです。(検出ツールのご案内) レコード情報自体が何か別のデータに押される形で失われております。 ミラーより復旧を行い、そちらまで壊れている場合はファイル名を失う形でしか復旧できません。

● 分類16 ファームウェアの細工

 スピンアップ後、異音が出続けるように細工されたドライブを見つけました。 元々は正常に認識できていた(論理障害)と伺いましたので、「データ復旧キャンセル」後に汚染されたケースです。 お問い合わせの数倍に至るお見積で保留しておきましたら勝手に戻され、ドライブの様子がおかしいという事でご相談いただきました。 ファームウェアの移植で元に戻りました。壊れていなかったので、一安心となったご案件です。

● 分類17 MBR(GPT), BPB(SuperBlock), ディレクトリエントリの抹消

 「読み取りができない」等のエラーが出て、データ復旧が必要となったケースだったのですが、ご確認いたしました結果、そのエラーが出ない状況でした。  Windowsでこのようなエラーが出る場合、ファイル構造は壊れておりますが、その領域自体には辿り着けております。 つまり、このようなエラーではMBR(GPT)、BPBおよび、一部のディレクトリエントリは正常な形で残っております。 しかしながら、MBR(GPT)およびBPBが0x00でクリア(空白)されておりまして、さらにはディレクトリエントリが0xFF等のバイナリで潰されておりました。 重要部分がピンポイントに壊れておりますので、自然故障ではなく、狙ってやられております。 ただ、これは業者ならばすぐに分かりますので、もはや隠す素振りもなく、怖いというしか言いようがない事例でした。
※ ミラー(ジャーナリング等)があれば、そこから復旧する事が出来ますが、FAT系の場合は厳しいです。

● 分類18 クラスタファイルシステムの破損

 クラスタファイルシステム自体は認識していたのですが、その領域の先頭からシグネチャを含め消滅しておりました。
 複数の仮想環境を持つためのファイルシステムなのですが、このベースが破損すると、全ての仮想環境を失います。 また、「複数」のシステムが絡み合うので、これに対してアルゴ等で上書きされた場合、復旧は「ほぼ不可能」です。 実際に拝見した例(VMFS)では、このクラスタファイルシステムが始まる領域先頭から0x00で消去されている形跡があり、これは少しでも「致命傷」になります。 クラスタファイルシステムが壊されると、その影響は多大(全仮想環境&全データ損失)となりますので、十分にご注意ください。

● 分類19 誤削除やフォーマットによる、ファイルの上書き破損

 こちらは、Macintoshのお客様にて多数を拝見しておりまして、深刻な問題です。 木構造の場所が破壊され、すでに復旧できる状態ではございません。

● 分類20 ファームウェア改変

 ドライブを動かすためのプログラムが破損させられ、動作不能となる信じ難い例です。
 ドライブのラベルに記載されているファームウェアとは異なるものが投入され、動作不能になったドライブとなります。 いわゆる「一発で致命傷」となりますので、ここから復旧する事は、まず叶いません。 非常に深刻な問題と認識しております。

● 分類21 お客様の許可を得ず、正式ご依頼前(初期診断の段階)に、ドライブを開封されてしまう場合

 ドライブを勝手に開封してしまい、他で復旧できなくなっております。非常に深刻な問題と認識しております。
 ドライブを開封してしまいますと、開封する前の個体差が不明となりますので、ドライブを開封した業者以外では対応が難しくなります。 このため、初期診断作業の段階でドライブが開封されてしまう事は、その業者以外では取り出せなくなる事を意味いたします。