1/10　受付番号
→　K07-07L94

2/10　復旧依頼製品
RED カメラ専用　HDD 320GB

3/10　お客様からのお問合せ内容
撮影後通常の操作をしていたのに突然映像が全部消えた。
納期が迫っているので可能であれば急いで復旧して欲しい。

★お客様からのお問合せ内容

4/10　依頼時の状態
→　エクスプローラ(Windows Explorer) 確認すると『A020_0707HN.RDM』というフォルダー名しか存在しない（内部は全部空白）

5/10　他復旧会社経由有無
→　なし

6/10　診断結果
→　データのインフォメーション領域が壊れている。

→　新しいコーデック Ｈ．２７５が使われています。

7/10　作業内容→　当社では独自開発した映像復旧ソリューションを用いて映像をフレーム別集めて映像ファイルを再構築しました。

8/10　復旧データ容量
→　容量　：　約69 GB

→　復旧データイメージ
取り出した映像を掻い摘んで編集して検証用データとしてお客様に送りしました。

9/9　作業時間
→　約2日

10/10　復旧データ状態

100% 　復旧できました。

コメント：

こういう作業は市販されている動画復旧プログラムではできません。
当社ではデータ構造の分析ができます。分析したデータをプログラムで編集ができます。

1/9　受付番号
→　I05-37K29

2/9 依頼内容： MS SQLデータ復旧
→　サーバーモデル： HP ProLiant DL380 G5
→　サーバーOS: Windows 2003 server
→　搭載disk : 300G HP SAS(10000RPM)X5
→　RAID level: 5
→　RAID controller: HP Smart Array P410

3/9　依頼時の状態
1番のハードディスクに物理的な損傷が発生しました。一番に新しいディスクを装着してRebuild（再構築）を行いました。このRebuild進行中に4番目のディスクにも障害が発生したのでサーバー管理者が4番目にも新しいディスクを装着した後、再度Rebuildを掛けたところ全てのデータが無くなってしまいました。ドキュメントデータも大事ですがMS SQLデータベースのデータの復旧が必要です。

4/9　他復旧会社経由有無
→　3社

5/9　診断結果
ハードディスクが2つ損傷してもRAID情報が崩れていなければ比較的容易にデータ復旧ができます。今回依頼品の場合は既存のRAID構成を削除した後、ディスクの順序が変わった状態でRAIDをRebuiltしましたので作業のボリュームが大きくなります。

同じ構成を適用した場合の回復には大きな問題がないことがありますが、今回の問題点はディスクの順序が変わった状態で初期化が進み、データの破損が加わったという難解な状態です。

【状況】

初期状態のディスク構成は、次のように1⇒2⇒3⇒4⇒5の順で構成されてパリティが保存されました。

この後ディスクを入替えたので、次のようにディスクの順序が1⇒2⇒3⇒5⇒4の順に変更されて再構成されました。

新しく生成されたパリティ情報によって、次のようにデータの破損が発生しました。
つまり、４番目のディスクの破損が原因で、現在のディスクセットでは回復が不可能な状況です。

6/9　作業内容
→　5番目のディスクを使用することができない状況であるため、Failディスクを認識させた後、PC3000回収装置を用いて、通常のディスクに複製
　　　約2日

→　回復後のファイルが正常かどうかを検証するために、独自に作成したソリューションで回復ファイルの検証。
　　　約4日

→　DBの場合は、MS-SQLにマウント後にQueryを使用してDBの整合性の検証をします。
　　　約2日

7/9　復旧データ容量
→　データベース復旧容量　約16GB
→　ドキュメントデータ　　約103GB
→ 　復旧データイメージ

8/9　作業期間
→　約8日

9/9　復旧データ状態

コメント：　ドキュメントデータは一部消失がありましたが、一番重要なMS-SQLデータベースのデータは100%復旧することができました。

RAID5のシステムでは2つ以上のディスクが物理的に壊れた場合、専門的な知識がなければデータを復旧することが困難です。

サーバー故障の場合は初期の対処方法がとても大事です。

特に問題発生時にはRAID構成のハードディスクの順序が変わらないように厳重注意すべきです。

普段運営しているサーバーのBIOSのRAID構成状態をメモしておいたり、写真に撮っておく事をお勧めします。

RAID情報が損傷された場合は弊社のようなアルゴリズムがない会社は復旧はできないと思われます。弊社のデータ復旧アルゴリズムは弊社独自開発アルゴリズムです。

上記のような復旧作業はいまのところ復旧アルゴリズムを有している弊社しか対応できないでしょう。

1/7　受付番号
　→　H03-7AK13 

2/7　依頼媒体
→  調査対象媒体　－　パソコン４０台
→  案件名　－　同業社へ技術流出事件のフォレンジック分析

3/7　お客様からお問い合わせ内容
Ａ社は機械の設計と製造をする中小企業です。
　　　会社の重要な資産である設計図面の技術情報が競合他社に流出して同様の製品が量産されている
という情報を入手して確認したところ、間違いなくわが社で開発した技術であることを確認しました。
　　　最近退職した開発チーム長をはじめ、現在在職中の設計図面を管理している関係者達のパソコンを
対象にして流出経路を調査して下さい。

　→　調査対象パソコンのデータ確保
　　　Ａ社の日常の業務に支障を与えないように週末を利用して対象の全パソコンのデータをディスクを
複製をする形で確保しました。

4/7　お客様からのフォレンジック分析要請資料
　　① コンピュータでプログラムの実行した履歴及びパソコンの使用歴分析
　　② USB記憶装置とデータをやり取りした使用歴分析
　　③ 電子メール使用歴分析
　　④ メッセンジャー、クラウドの使用歴
　　⑤ メッセンジャー会話内容とキーワードの分析

5/7　フォレンジック分析
   ①　イメージング
元のハードディスクへの変更防止措置を実行して、ソースに変更が発生しないように特殊な装置を使用してディスクイメージを作成し、ソースとしてこれを保管します。これをコピーしたコピーデータで分析を進めますので原本のディスクイメージは整合性を保証されます。

今回の場合は、調査対象者が在職中なので、本人や周囲のスタッフに露出してはならないようにする必要性がありました。その為に弊社のフォレンジック担当者が休日の時間を利用して、顧客先を訪ねて調査対象者のパソコンのデータを複製することで調査対象のデータを確保しました。

会社全体の従業員を対象とした作業だったので、徹夜作業を通じて社内サーバーを含む40台のPCイメージング処理を完了しました。

注意：　フォレンジック調査を考えている方はできるだけ早い時点で現状の状態のデータを確保しておく必要があります。万が一、自分のPCが調査されることを知るとデータが復旧できないように妨害操作をするので、このような事態が発生する前に迅速にハードディスクの保存作業をする必要があります。

6/7　フォレンジック分析結果
① デジタルフォレンジックにUSB、電子メールを介してのデータの流出解析を追加で進めた結果、電子メールの添付ファイルとして図面ファイルが転送された記録が多数発見されており、圧縮ファイルが添付ファイルとして送信されたケースも多数発見された。

② 社内文書サーバーへの遠隔操作ツールTeamViewerプログラムがインストールされて社外から頻繁にリモート制御が行われた事実を確認した。接続されたIPアドレスを追跡して、リモート接続した位置を確認した結果、一人の従業員の自宅と一致する地域が特定され、その従業員を容疑者として絞り込んだ。

③ 各PCごとにプログラムのインストール、削除、履歴を分析して、営業秘密の流出に利用されるプログラムのインストールと使用履歴を確認して、記録が確認されたユーザーは容疑者として取り上げました。

③ レポートの作成

各PCごとのレポートを作成し、全体の内容を一目で把握できる概要レポートを作成し、製本して、様々なデジタル分析結果は、USBストレージデバイスに保存して鑑定書と一緒に依頼者に提出しました。

以上で分析した内容を総合して、2〜3つの容疑が同時に確認されたユーザーを選定して、レポートを作成しましたが、この内容をもとに捜査機関に捜査を依頼されて捜査着手されました。

7/7　作業時間
→　約27日

コメント：　フォレンジックを依頼される立場は被害者ですが、依頼者は雇用者の場合もあり被雇用者の場合もあります。
雇用者側には一層のIT、情報管理が求められていくでしょうし、被雇用者にとっては自身のPCの操作、データの操作・削除は履歴に残る（残せる）という事実は良くも悪くも認識しておいた方が良いです。

1/10　受付番号
→　H05-06P46

2/10　データ復旧依頼製品
→　Western Digital HDD 3TB

3/10　お客様からお問い合わせ内容
→　3TBの外付ハードディスクが31.9GBとなり元々の3TBに戻りません。 なお他社に修復依頼しましたが、「ディスク面の損傷により、HDDの情報が記録されたエリアが物理的に読み取れなくなっている可能性が高い」と診断され修復不可で戻ってきました。 修復できるのであればよろしくお願いします。

4/10　依頼時の状態
→　カチャ～カチャ．．．異音発生

5/10　他復旧会社経由有無
→　有り

6/10　診断結果
→　ヘッド損傷及びプラッターに大量の不良セクターあり

7/10　作業内容
→　ヘッド交換(3回)をして正常な領域のデータを確保しました。

8/10　復旧データ容量
→　643 GB

8/10　作業時間
→　約１2日

10/10　復旧データ状態

コメント
→　損傷の状態から見ますと想定していた結果より良好でした。他社で復旧を断られたケースですが、面倒な復旧作業は回避される事もあるのでしょう。
諦めないでご相談下さい、弊社は復旧可能なケースで作業を了承いただけば最善を尽くします。

下記はお客様と交わしたメール内容をまとめました

1/9　受付番号
→　M08-30B26

2/9　USB (SUPER*TALENT 128GB）
→ 依頼品イメージ

→　お客様からお問い合わせ内容
USBが突然反応しなくなりました。

3/9　依頼時の状態
→　他復旧会社でeMMC チップが剥離されて来ました。

4/9　他復旧会社経由有無
→　2　社

5/9　診断結果
→　コントローラが損傷

6/9　作業内容
→　pinからoutput端子を見付けてデータを復旧しました。
　　商用の機械では対応できないタイプです。

7/9　復旧データ容量
→　約 47 GB
→ 復旧データイメージ

8/9　作業時間
→　約9日

9/9　復旧データ状態

コメント：USBメモリ128GBでeMMCタイプは取り扱いがとても難しいです。
弊社ではeMMC が使われているUSBメモリ256GBまで実績があります。
是非ご相談下さい。