◆シナリオ◆
攻撃者は、被害者のワークステーション システムのディスク パーティションの 1 つに悪意のあるファイルを保存し、それらを実行して機密ビジネス データを盗みました。犯罪を犯した後、攻撃者は犯罪と身元が検出されるのを防ぐために、悪意のあるファイルが保存されていたディスク パーティション全体を削除しました。被害者は、システム上のディスク パーティションの 1 つが欠落していることに気づきました。また、システムが不審な動作をしていることも発見し、その問題を組織のサイバー セキュリティ部門に報告しました。この場合のフォレンジック調査の一環として、調査員は削除されたディスク パーティションを復元し、そこに保存されていたファイル (通常のファイルと悪意のあるファイルの両方) を取得し、悪意のあるファイルをさらなる調査のために送信できるようにする必要があります。
◆目的
失われた/削除されたパーティションからデータを回復する方法
ディスクからパーティションが削除されると、ディスク内のファイルは失われ、削除されたパーティションに関連するエントリがコンピュータによって MBR パーティション テーブルから削除されます。ただし、ディスクの対応するセクションが上書きされない限り、削除されたパーティションとその中のファイルを回復する可能性があります。
◆概要
EaseUS Data Recovery Wizard に慣れ、攻撃者によって削除された可能性のあるディスク パーティションを回復する方法を理解するのに役立ちます。削除されたディスク パーティションには、攻撃者の犯罪に関連する重要なアーティファクトが含まれている可能性があります。
１，
DRW13.5_Free.exe をダブルクリックします。[セットアップ言語の選択]ウィンドウが表示されます。必ず英語を選択し、「OK」をクリックしてください。
２，
セットアップ - EaseUS Data Recovery Wizardが表示されます。ウィザードによるインストール手順に従ってアプリケーションをインストールします。
３，
インストールの最後のステップで、「カスタマ エクスペリエンス向上プログラムに参加する」のチェックを外し、「完了」をクリックします。
「アップデートの確認」ポップアップが表示され、アプリケーションがアップデートの検索を開始した場合は、 「キャンセル」をクリックしてアップデートをキャンセルします。
４，
EaseUS Data Recovery Wizardツールウィンドウが開きます。マウス ポインタを失われたパーティション 1の上に置くと、その下に[スキャン]ボタンが表示されます。[スキャン]をクリックします。ここで、Lost Partition-1 は削除/紛失したパーティションを示します。
５，
このツールは高度なスキャンを実行し、その後、削除されたパーティション ( Lost Partition-1 )のアイコンが新しいウィンドウに表示されます。[失われたパーティション-1]アイコンは、ウィンドウの上部の左側のペインに表示されます。Lost Partition-1の下には、 Lost Filesという名前のフォルダーもあり、スクリーンショットに示すように、同じものが右側のペインにもあります。
６，
Lost Filesフォルダーの内容を表示するには、Lost Filesノードを展開します。ノードを展開すると、次のスクリーンショットに示すようにフォルダーの内容が表示されます。
７，
Lost Partition(NTFS)フォルダを展開して、その中に存在するデータを表示します。Lost Partitionフォルダの下にはフォルダのリストがあります。いずれかをクリックすると内容が表示されます。このラボでは、オーディオ ファイルを表示します。
８，
次のスクリーンショットに示すように、すべてのオーディオ ファイルが右側のペインにリストされます。
同様に、TagsフォルダーとRAWフォルダーはLost Filesフォルダーの一部です。これらのフォルダーの下の内容を表示するには、フォルダーを展開します。さらに、タグ フォルダーと RAW フォルダーのサブフォルダーの内容を表示するには、それらのサブフォルダーをクリックして、その内容がツール ウィンドウの右側のペインにリストされるようにします。
９，
目的は、失われた/削除されたパーティション全体を回復することであるため、ウィンドウの左ペインの上部にある失われたパーティション-1アイコンを確認します。[失われたパーティション-1]アイコンをチェックすると、そのパーティションに存在するすべてのデータがチェックされ、ウィンドウの右下にある[回復]ボタンが有効になります。
１０，
パーティションを回復するには、[回復]ボタンをクリックします。
１１，
「フォルダの参照」ウィンドウが表示されます。Dドライブの下で、ラボの最初に作成したRecovered Partitionフォルダーを選択し、 [OK]をクリックします。削除されたパーティションに保存されていたすべてのデータが復元され、「復元されたパーティション」フォルダーに保存されます。
１２，
次のスクリーンショットに示すように、 EaseUS はファイルの回復を開始します。
特定の時点で、アプリケーションはリカバリを一時停止し、2 つのオプションを表示します。これは試用版であるため、すべてのファイルを無料で復元することはできません。[回復を続行]をクリックしてプレミアム バージョンを購入することも、[これ以上回復しない]をクリックすることもできます。このラボでは、 「これ以上回復しない」オプションを選択します。
１３，
[Don't Recover Any More]をクリックすると、アプリケーションは削除されたパーティションのデータが保存されている場所に自動的に移動します。
１４，
EaseUS は、回復されたパーティションフォルダー内に一連のサブフォルダーを自動的に作成します。回復されたパーティションフォルダーには、次の形式のEaseUSフォルダーが含まれます: Easeus [DD HH_MM] 。DD は日付、HHは時間、MMは分を表します。復元されたすべてのデータは、一連のサブフォルダーを介してEaseus [DD HH_MM]フォルダーに保存されます。
このようにして、 EaseUS Data Recovery Wizardを使用して、削除されたパーティションの内容を復元できます。
開いているウィンドウをすべて閉じます。