反フォレンジック技術の打破   紛失/削除されたディスク パーティションからのデータの回復


◆目的
失われた/削除されたパーティションからデータを回復する方法

ディスクからパーティションが削除されると、ディスク内のファイルは失われ、削除されたパーティションに関連するエントリがコンピュータによって MBR パーティション テーブルから削除されます。ただし、ディスクの対応するセクションが上書きされない限り、削除されたパーティションとその中のファイルを回復する可能性があります。

◆概要
EaseUS Data Recovery Wizard に慣れ、攻撃者によって削除された可能性のあるディスク パーティションを回復する方法を理解するのに役立ちます。削除されたディスク パーティションには、攻撃者の犯罪に関連する重要なアーティファクトが含まれている可能性があります。

１，
  DRW13.5_Free.exe をダブルクリックします。[セットアップ言語の選択]ウィンドウが表示されます。必ず英語を選択し、「OK」をクリックしてください。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/43d2834c-ecf5-76df-40ed-7b83f30043f1.png)

２，
　セットアップ - EaseUS Data Recovery Wizardが表示されます。ウィザードによるインストール手順に従ってアプリケーションをインストールします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/6558d48f-c7e9-4cce-f736-553ed7bbb156.png)

３，
　インストールの最後のステップで、「カスタマ エクスペリエンス向上プログラムに参加する」のチェックを外し、「完了」をクリックします。

「アップデートの確認」ポップアップが表示され、アプリケーションがアップデートの検索を開始した場合は、 「キャンセル」をクリックしてアップデートをキャンセルします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/bfdba359-dae1-08c1-0fac-204a1df446f0.png)

４，
EaseUS Data Recovery Wizardツールウィンドウが開きます。マウス ポインタを失われたパーティション 1の上に置くと、その下に[スキャン]ボタンが表示されます。[スキャン]をクリックします。ここで、Lost Partition-1 は削除/紛失したパーティションを示します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/f6afc753-d4bc-4327-d849-2784a108e538.png)

５，
このツールは高度なスキャンを実行し、その後、削除されたパーティション ( Lost Partition-1 )のアイコンが新しいウィンドウに表示されます。[失われたパーティション-1]アイコンは、ウィンドウの上部の左側のペインに表示されます。Lost Partition-1の下には、 Lost Filesという名前のフォルダーもあり、スクリーンショットに示すように、同じものが右側のペインにもあります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/1dbaa2eb-2f77-9355-898b-9f6373be23f5.png)

６，
　Lost Filesフォルダーの内容を表示するには、Lost Filesノードを展開します。ノードを展開すると、次のスクリーンショットに示すようにフォルダーの内容が表示されます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/bb1ec033-7f6d-c62b-7ef3-aaf8562ec7bf.png)


７，
　Lost Partition(NTFS)フォルダを展開して、その中に存在するデータを表示します。Lost Partitionフォルダの下にはフォルダのリストがあります。いずれかをクリックすると内容が表示されます。このラボでは、オーディオ ファイルを表示します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/599067cf-da36-b619-3521-8e5ade18d767.png)

８，
　次のスクリーンショットに示すように、すべてのオーディオ ファイルが右側のペインにリストされます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/87d62ba3-4dec-4bd2-63c5-e9bfa14190a1.png)

同様に、TagsフォルダーとRAWフォルダーはLost Filesフォルダーの一部です。これらのフォルダーの下の内容を表示するには、フォルダーを展開します。さらに、タグ フォルダーと RAW フォルダーのサブフォルダーの内容を表示するには、それらのサブフォルダーをクリックして、その内容がツール ウィンドウの右側のペインにリストされるようにします。

９，
　目的は、失われた/削除されたパーティション全体を回復することであるため、ウィンドウの左ペインの上部にある失われたパーティション-1アイコンを確認します。[失われたパーティション-1]アイコンをチェックすると、そのパーティションに存在するすべてのデータがチェックされ、ウィンドウの右下にある[回復]ボタンが有効になります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/7f286df4-1e17-bc1a-296f-a09bf50fda44.png)

１０，
　パーティションを回復するには、[回復]ボタンをクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/5588754d-49ac-6fae-c55e-c57dfa24cd5d.png)

１１，
　「フォルダの参照」ウィンドウが表示されます。Dドライブの下で、ラボの最初に作成したRecovered Partitionフォルダーを選択し、 [OK]をクリックします。削除されたパーティションに保存されていたすべてのデータが復元され、「復元されたパーティション」フォルダーに保存されます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/fb475485-6148-a90d-abd9-9f10fc358e2d.png)

１２，
　次のスクリーンショットに示すように、 EaseUS はファイルの回復を開始します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/b931d9ae-28c2-bf02-db57-d81ca6246648.png)

特定の時点で、アプリケーションはリカバリを一時停止し、2 つのオプションを表示します。これは試用版であるため、すべてのファイルを無料で復元することはできません。[回復を続行]をクリックしてプレミアム バージョンを購入することも、[これ以上回復しない]をクリックすることもできます。このラボでは、 「これ以上回復しない」オプションを選択します。

１３，
　[Don't Recover Any More]をクリックすると、アプリケーションは削除されたパーティションのデータが保存されている場所に自動的に移動します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/66bbebe2-7965-ae97-eb56-f5e22d668fd5.png)

１４，
EaseUS は、回復されたパーティションフォルダー内に一連のサブフォルダーを自動的に作成します。回復されたパーティションフォルダーには、次の形式のEaseUSフォルダーが含まれます: Easeus [DD HH_MM] 。DD は日付、HHは時間、MMは分を表します。復元されたすべてのデータは、一連のサブフォルダーを介してEaseus [DD HH_MM]フォルダーに保存されます。

このようにして、 EaseUS Data Recovery Wizardを使用して、削除されたパーティションの内容を復元できます。

開いているウィンドウをすべて閉じます。