8章
Hands-on-2
ここでは、ディスクから作成したサンプルの物理イメージファイルを使用して、ファイルシステム、削除済みファイル、未割当領域などが保全されている状況を確認するハンズオンを行います。
物理イメージファイルの内容を解析（パース）するには、フォレンジックツールが必要です。
ここでは、Exterro Legal GRC Software社（旧・Access Data社）が無償提供するフォレンジックツール「FTK Imager」を使用します。
FTK Imager は、以下のURL（Exterro Legal GRC Software社の公式サイト）から入手できます。
https://www.exterro.com/digital-forensics-software/ftk-imager
ハンズオンで使用する演習データについて
このハンズオンで使用する物理イメージファイルは、演習用データの以下の相対パスに保存されています。
s08\hands-on-2.E01
以下の説明では、上記を物理イメージファイルのパスを C:\CDIR-L\s08\hands-on-2.E01 とします。
FTK Imagerへのイメージ読み込み
ダウンロードしたFTK Imagerをインストールした後、起動して下さい。なお、FTK Imagerの実行には管理者権限が必要となるため、一般ユーザーでログオンしている場合は管理者パスワードの入力が必要となることがあります。
起動後、以下の手順に従い、物理イメージファイルをFTK Imagerに読み込みましょう。
デスクトップからFTK Imagerを起動し、「File」ー「Add Evidence Item...」を選択します。
「Image File」を選択し、「次へ」をクリックします。
「Select File」画面で「Browse...」ボタンをクリックすると、ファイル選択のダイアログが表示されます。ハンズオン用の物理イメージファイルを選択し、「Finish」をクリックします。
物理イメージファイルの読み込みが完了すると、物理イメージ名「hands-on-2.E01」をトップ階層とするツリー表示になります。
ファイルシステムの確認
次に、読み込んだ物理イメージ内に構成されているファイルシステムを確認します。
「hands-on-2.E01」の階層を展開していくと、「ボリューム」階層の下に、
- root
- unallocated space
- orphan
という3つの仮想サブフォルダが表示されます。
はじめに「root」階層を見てみましょう。
「root」には、原本ディスクのファイルシステムが、元のルートフォルダ（「C:\」等）の階層から再現されます。
FTK Imagerでは、Windows標準のエクスプローラーに近いインターフェースで、フォルダ階層やファイルを確認できます。
Windows標準機能ではアクセス不可の「$MFT」や「$LogFile」など、特殊なシステムファイルであるNTFS内部データも表示されます。
削除済みファイルについても、「root」配下に表示される場合があります。
以下の手順で確認してみましょう。
削除済みファイルの確認と復元方法
削除済みとして検出されたファイルは、仮想サブフォルダの「root」と「orphan」の階層に表示されます。
まず、「root」直下のファイル（原本ディスクのルートフォルダ）をみてみましょう。
上記赤枠内の2つのファイルを見て下さい。「報告書.zip」は、通常の現存ファイルです。
もう1つの「password.txt」は、アイコンに 削除済みファイルであることを示す「✕」印が付いています。
検出される削除済みファイルは、ごみ箱から削除されたファイルや、ごみ箱を経由せずに削除されたファイルのうち、NTFSメタデータ（ファイル管理情報、以下「メタデータ」と呼称）の領域が、再利用されずに残っているものです。なお、メタデータには削除済みを示すフラグが付与されており、将来的には再利用されます。
FTK Imager等のフォレンジックツールでは、再利用されずに残存するメタデータを、NTFS内部データから検出し、削除済みファイルとして表示します。
表示された削除済みファイルは、元のデータ内容を復元できる可能性があります。以下の手順で削除済みファイルの内容を確認してみましょう。
- 「password.txt」をクリックで選択
- データの内容が、画面右下部の表示エリアに表示される
- 日本語テキストが文字化けしている場合は、表示エリアを右クリックして、「エンコード」ー「その他」ー「Unicode (UTF-8) 」を選択
※「password.txt」の内容は「報告書.zip」ファイルの解凍パスワードのメモです。
「password.txt」は、メタデータが残っているうえ、メタデータとリンクするデータ領域も再利用されずに残っている状態のため、復元が可能でした。なお、ファイルのデータサイズが小さい場合（750バイト程度まで）、メタデータの中にファイルのデータそのものが内包されているケースがあります。その場合は、メタデータが再利用されていなければ、データ内容も復元可能です。
データ内容が復元可能な場合、削除済みファイルを右クリックして「Export Files...」を選択することにより、ファイルとして保存することができます。
一方、メタデータが残っていても、データ領域が再利用されてしまっているケースがあります。この場合、上記の「password.txt」と同様に、FTK Imagerでのメタデータ検出は可能ですが、内容の復元はできません。
逆のケースとして、メタデータが再利用され、データ内容が残っている場合もあります。この場合は、「unallocated space」（未割当領域）を検索する後述の方法（カービング）により、データのみを復元できる可能性があります。
ごみ箱に入っているファイルは、ごみ箱の実体である「$RECYCLE.BIN」フォルダへ移動された状態ですので、同フォルダから復元できます。なお、「$RECYCLE.BIN」フォルダでは、元のファイル名が管理用の記号番号にリネームされます。同時に、元のファイル名やファイルパスの属性情報を記録したメタファイルが、同フォルダ内に作成されます。
次に、仮想サブフォルダ「orphan」にあるファイルを見てみましょう。
「orphan」に表示されるファイルは、すべてメタデータが残存する削除済みファイルです。
「root」に表示される削除済みファイルとの違いは、親フォルダの削除などにより、元のファイルパスが不明であることです。「root」の削除済みファイルの場合は、削除前に属していたフォルダ（親フォルダ）の階層に表示されますが、属していた親フォルダが不明の削除済みファイルは、一括して「orphan」へ表示されるのです。
なお、「orphan」には「孤児」という意味があり、親フォルダが不明であることから名付けられた仮想サブフォルダ名です。「orphan」の削除済みファイルの復元方法や復元できるパターンについては、「root」と同様です。
未割当領域の確認とカービング手法
最後に、仮想サブフォルダ「unallocated space」（未割当領域）を見てみましょう。
「root」や「orphan」では、「File List」の「Name」欄にはファイル名が表示されますが、「unallocated space」では数字だけが並んでいます。この数字は、ディスク上のアドレスのオフセットから、FTK Imagerによってナンバリングされたもので、NTFS上のファイル名ではありません。FTK Imagerは、NTFSでは管理されておらず、「未割当領域」と認識したディスク領域を、一定の単位（クラスタ：ディスク読み書き時の最小サイズ）でナンバリングします。
「未割当領域」のデータは、
- 未使用領域（HEXで"00"と表示）
- 削除済みファイルのデータ領域（再利用される前）
のいずれかです。
削除済みファイルのデータ領域は、前述のとおり、メタデータが先に再利用されているケースがあります。メタデータが再利用されている場合、FTK Imagerによる検出や復元はできません。
しかし、ファイルの種類によっては、特徴的なデータパターンを捉えて検索することにより、未割当領域から復元できる場合があります。
例として、「unallocated space」から、「0002634」とナンバリングされた領域を見てみましょう。
「0002634」のディスク領域では、Windows実行ファイル（PE形式）の特徴である、先頭の「MZ」という文字列や、その後の「This program cannot be run in DOS mode」という文字列が確認できます。これらの特徴から、削除された実行ファイルのデータ領域と推測されます。
ファイルとして復元する方法は、以下のとおりです。
文字列「MZ」を、削除されたデータ領域の先頭位置と推定する
先頭位置から後方へデータを検索し、データパターンやクラスタの境界などから末尾位置を推定する
推定した先頭から末尾までの領域を、未割当領域から切り取る（コピー＆ペースト）ような形でファイルに保存する
※ メタデータが失われているため、元のファイル名やファイルパスはわかりません。
このように、ファイル種類ごとの特徴点を捉えて、削除済みデータを未割当領域から復元する解析手法は、「カービング」と呼ばれています。FTK Imagerには自動的にカービングを行う機能はありませんが、フォレンジックツールやファイル復元ソフトウェアの多くに実装されています。
カービングの留意点は、さまざまなファイルの特徴点だけを頼りに削除済みデータを推定しますので、必然的に誤検知が発生することです。自動カービング機能で復元を行った場合には、大量に誤検知が発生して、内容確認に時間を浪費するケースもあります。
効率的にカービングを実施するためには、必要なファイルタイプの絞り込み、ファイルサイズによる制限、検索条件（特徴点）の厳格化など、事前の方針検討や条件設定が重要になります。
このハンズオンで紹介したように、物理コピーによる証拠保全の大きなメリットは、網羅的にデータが保全できるほか、削除済みファイルの復元が可能な点にあります。マルウェアや攻撃者の証拠隠滅活動に対する有効な対抗策となりますし、OSの通常の活動で削除された、過去のアーティファクトを復元することも可能です。
問題
仮想サブフォルダ「root」に表示される削除済みファイル「password.txt」内の、パスワード文字列を回答して下さい。
パスワードは、半角英数字＋記号で構成された計10文字です。