ロストクラスター

テスト用の NTFS パーティション（8M）を作成し、dd コマンドで RAW イメージを作成し、中身を編集します。クラスターの割り当て状況は $Bitmap ファイルで管理されてますので、$Bitmap ファイルが利用しているセクタ位置を EnCase で確認しておき、バイナリエディタを使い該当範囲を適当に 00 から FF などに変更。（ビットを変更したのがどのクラスタ位置か確認してからの方がいいかもしれませんが、計算が面倒だったので16バイト分くらいをいっきに変更して、Disk ビューでも目立つように修正）
EnCase に LostCluster の判断を行なわせるには Tools → Options → Flag Lost Files チェックボックスを、ケースにデバイスを追加する前にチェックしておく必要があります。準備ができたので、$Bitmap を細工した dd イメージファイルを EnCase でマウント。
この状態で EnCase から dd イメージ内を Disk ビューで確認すると、手動で $Bitmap を変更した位置が LostCluster として表示されてくることが確認できます。
試しに dd イメージをファイルシステムに書き戻して、マウント時に回復処理的なものが自動で行なわれるか確認してみましたが、特にそういった動作は無いようですね。chkdsk をかけると反応しますが...

C:\>chkdsk e:
ファイル システムの種類は NTFS です。
ボリューム ラベルは Lost です。

警告: /F パラメータが指定されていません
CHKDSK を読み取り専用モードで実行します。

CHKDSK はファイルを検査しています (ステージ 1/3)...
ファイルの検査を完了しました。
CHKDSK はインデックスを検査しています (ステージ 2/3)...
インデックスの検査を完了しました。
CHKDSK はセキュリティ記述子を検査しています (ステージ 3/3)...
セキュリティ記述子の検査を完了しました。
CHKDSK はボリューム ビットマップに割り当て済みとしてマークされている空き領域を検
出しました。
ファイル システムに問題が見つかりました。
CHKDSK を /F オプションを使って実行して、問題を修正してください。

      8000 KB : 全ディスク領域
         0 KB : 1 個のファイル
         4 KB : 9 個のインデックス
         0 KB : 不良セクタ
      2486 KB : システムで使用中
      2048 KB : ログ ファイルが使用
      5510 KB : 使用可能領域

       512 バイト : アロケーション ユニット サイズ
     16001 個     : 全アロケーション ユニット
     11021 個     : 利用可能アロケーション ユニット