アンタイ・フォレンジック妖怪の独り言

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

シャドウコピーの差分

今回実験したボリュームはあまりデータもない領域なので、システム領域などではまた違うかもしれませんが、差分生成についても興味深いです。
シャドウコピー1が約300メガ程度ある状態で、新たにシャドウコピーを作成すると、シャドウコピー1のサイズが 25メガ程度の縮小され、新たなシャドウコピー2が300メガ程度で作成されるようで、こんな流れになっているのではないかと思われます。

1.シャドウコピー1が作成される(そもそもこの時点で中身はどこまでの情報が含まれるものなのか?謎)
2.シャドウコピー1のサイズは約300メガ程度
3.シャドウコピー2の作成を指示する
4.シャドウコピー1とシャドウコピー2で差分がチェックされる?
5.シャドウコピー1には最小限の情報のみ保持される(サイズが 25メガ程度に減少する)
6.シャドウコピー2が新たに作成される(サイズは約300メガ程度)

さて、シャドウコピー1に含まれる MFT エントリがポイントしているファイル情報や内容が、シャドウコピー2以降に変更されると、その変更データはシャドウコピー2に含まれる、という実験結果だった気がします。>hogeとfuga
シャドウコピー1に含まれる MFT エントリのファイル内容を復元するには、シャドウコピー1の MFT エントリと、シャドウコピー2に含まれるデータを取り出すことで可能になると思うのですが、その理解でいいんでしたっけ?
あ、嘘だ。yumano さんメモによるとぜんぜん違う(笑)
もうちょっと調べて整理しないといけませんねぇ、次回からは少し最後にまとめの時間を取ったほうがいいのかもしれませんね。
VSS については引き続きどこかのタイミングで復習もかねて再度テーマにしましょう!?