@port139 Blog

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

2009-11-01から1ヶ月間の記事一覧

スナップショットあふれ実験その2

日曜日の午後といえば、“スナップショットをあふれさせる”こと以外に、人生にはもっと重要なことがあるはずとか思いつつも、とりあえず思いつくこともないので追加実験。 先ほどまで使っていたボリュームはクイックフォーマット*1を行い、念のためCipherを使…

おしーえてぇーおじいぃさんー

スナップショットを管理している人は言いました、『“以前のバージョン”から古いファイルはとりだせますぢゃ』 スナップショットを管理している人は思いました「こんなに大量に“以前のバージョン”は、わしには覚えきれないんぢゃがのぉ」 スナップショットを…

スナップショットあふれ実験その1

未使用領域を埋めるのには cipher コマンドを代用することにして、以下の作業を実行。 1.コアラ画像などをテスト用ボリュームにコピー 2.システムの保護を有効にしてからスナップショットを作成 3.画像ファイルを削除 4.Cipher /W を実行して未使用領域を上…

スナップショットの容量

1.2GB の仮想ディスクを VMware 環境下にある Windows 7 に追加して、NTFS でクイックフォーマット。この状態でシステムの保護から、「ファイルの以前のバージョンのみを復元する」を設定した場合のスナップショット用の最大使用量は以下の値。 最大使用量(M…

スナップショット毎の差分

忘れそうなのでメモ。 スナップショットを論理ドライブに割り当てることで、スナップショット内にアクセス可能になるので、現在の状況とスナップショット内の状況での差異を容易に確認する方法が必要かもしれませんね。 スナップショット1 を X: ドライブ、…

FNG07終了

遅刻すると、まっちゃさんに怒られるらしいので FNG を早めに終了しました(笑) ということで、全編オンラインでの実施でしたが、参加された皆さんお疲れ様でした。洗濯機の音が拾われていてうるさかったみたいですので、次回はオフライン+オンライン形式…

FNG07の開催日

とりあえずのメモWindows 7上ではシャドウエクスプローラー(Shadow Explorer)が動作しないので、単に手元の Windows 7 が腐っているだけのようで、VMware上の Windows 7 では問題なく動いているみたいなので、やはり昨日発覚したエラーが原因か。Windows V…

HELP参照してみると

以前のバージョンのファイル: よく寄せられる質問、という項目に下記説明があり興味深いです。Windows 7 での説明ですが、システムフォルダ配下は含まれてないみたいなのですが、レジストリファイルとかはどうなんでしょうかね?明日確認。 一部のファイルに…

予期しないエラー

むぅ手元の Windows 7 な環境(先日、新規インストールしたばかり)でエラーが...orz C:\Windows\system32>vssadmin list volumes vssadmin 1.1 - ボリューム シャドウ コピー サービス管理コマンドライン ツール (C) Copyright 2001-2005 Microsoft Corp. …

ZFSとの組み合わせ

組み合わせというか、ZFS 側でスナップショットを使うということなんでしょうかね。 Using ZFS to add unlimited snapshots to NTFS filesystems http://blogs.sun.com/GregB/entry/using_zfs_to_protect_ntfs 最近リリースされた FreeBSD のリリース文にも …

明日の予定

Windows Vista ではシステムの保護における選択肢はひとつだけでしたが、Windows 7 からはシステムデータの保護とユーザーデータの保護の二種類が登場していますので、それぞれのオプションによる保護対象の違いはどうなっているのかなどを確認していけたら…

明日の準備

明日の FNG07 はひらすらシャドウコピーを作っては消すとかになる気がするので、VSS をサポートしている環境と以下のツールが最低限必要になります。基本的には Windows XP 以降から VSS がサポートされているはずですが、よく考えると XP でやった記憶があ…

明日は、まっちゃ445 第10回開催日

ということで?、明日は午前中からいろいろと目白押しみたいですね。 第10回 まっちゃ445勉強会 http://matcha445.techtalk.jp/saturday-workshop/10th-workshop で、それと重なっている FNG07 の準備をまったくしていなかったので、とりあえず VMware 上に …

クラウドのコストメリット?

クラウドを電子メールのアーカイブに利用している場合、インデックスの作成とキーワード検索による絞り込み処理がクラウド上で実施可能な部分が、eDiscovery に対してはコストメリットを出しそうですね。 今のところ検索やエクスポートに対して追加チャージ…

取り出しに時間がかかることの影響

期限ってのがありますので、取り出しにえらく時間がかかってしまうと、その後ろのレビュー作業に影響がでます。レビュー段階で関連する資料なのかそうでないのか、秘匿特権に関連する文書などのフィルタが行なわれるわけですが、時間がないとエイヤになって…

取り出したデータの整合性

PST ファイルを何本もダウンロードしてくるわけですが、データ転送が正常に行えたのか、PST ファイルが壊れてないかを確認して、それらのハッシュ値を記録していく必要があります。とはいえ、サービス提供者側でエクスポート時に PST ファイルのハッシュ値と…

クラウドからのデータ転送速度

社内にアーカイブシステムがある場合、アーカイブからのデータ転送速度はそれなりの速度で可能かもしれませんが、クラウドからのデータ取り出しがどの程度の回線速度になるかよくわかりません。データセンターが国内にあればそこそこ速度出るのかもしれませ…

検索して件数を減らして取り出す

例えば対象メールが 30万件あっても、検索してから取り出すのでそんなに回数増えないというお話もあるかもしれませんが、メール本文はよいとして、懸念点としては添付ファイルのインデックスですかね。 Supported File Attachments Appendix には対応してい…

クラウドからのアーカイブ取りだし

クラウド上のメールアーカイブからの取り出しについては、ユーザーガイドに記述があります。より高機能なオプション・サービスが別途提供されている可能もありますが、エクスポート機能の概要としては以下のような感じです。Message Archiving User’s Guide…

リチゲーションホールドへの対応

大雑把にいくと、訴訟に関連する電子データを削除しては駄目!というルールがありますが、クラウド上にある電子メールのアーカイブは破棄ポリシーに従い期限が過ぎたのは自動的に削除されていくと思われます。先ほどの Google Message Discovery では、説明…

クラウドのメールアーカイブサービス

Google だと Google Message Discovery というサービスが提供されています。Google のデータセンターでメールアーカイブを保存しておき、1年〜10年などの期間保存することができるようです。電子メールのアーカイブとして考えた場合、ドキュメントのリテンシ…

クラウドと開示

最近は NHK などでもクラウドの特集が組まれて、Google 日本法人の社長さんなどがしきりに宣伝している姿をみかけます。個人的にはクラウドはまったく興味ないのですが、本業に関連して質問を受けそうなところもあるのでちょっとだけ調べてみたのですが、な…

デフォルトのクラスタサイズ

id:ucq さんが、エクスプローラで表示されるディスク上のサイズについて調べているみたいですね。 実際の割り当て状況とかは DataRun で調べる必要がありそうですが、サイズゼロのスパースとかだと、構造がわかりにくいかもしれませんね、というか、バイナリ…

Live Hacking本

hakin9 のメルマガ?みたいなので紹介されていたのですが、洋書だからこのさい Kindle を購入してそれで読む方が便利だったりするんですかね。とりあえずまだ Amazon では情報が出てこないので先送り。 Live Hacking: The Ultimate Guide to Hacking Techniq…

FNG07 Web会議参加者募集

FNG07 ですが、spreed の Web 会議システムを使って、リモート参加の受付を行ないます。*1 今回は実験的な意味が強いので、うまく実施できるかもかなり不明ですが、興味のあるかたは下記参照ください。回線の帯域がどの程度いけるのか不明なので、とりあえず…

FNG07参加者募集

VSS について引き続き取り扱う予定ですが、そもそもスナップショットの作成とか管理などをちゃんと見てないので、その辺りを含めて OS 側の動作なども確認してみたいと考えています。 なお、今回は CCI な人のご希望により、開始時刻が朝 9時から12時までに…

時間の早さはピカイチ?なWindows勉強会みたいなものらしい

開始時刻の早さに関する不評が定番の FNG ですが、Yosuke Hasegwa 氏が大阪方面でもっと開始時刻が早い平日の朝 7時〜9時な勉強会、ではなくて、平日夜での勉強会開催をお考えだそうです。 http://twitter.com/hasegawayosuke Twitter のこの辺りの発言とか…

FAT 種別の識別方法

2008年12月頃の話題なんですけど、別のところに書いた内容をコピペ。 ここから---GSI のフォーラムで話題に上がっていた件ですが、FAT の種別をどのように識別するか興味深い話題なのでこちらにも投げておきます。 まず EnCase が仕様上 FAT 12/16/32 をどの…

スパースファイルのクラスタ単位

NTFS の疎ファイル(スパース)ファイルのクラスタ割り当ての単位を調べていたのですが、Inside Windows 第四版(下) P321 に、NTFS圧縮に関連した記述として、1圧縮単位が 16クラスタという記載がありますね。 NTFS 圧縮を利用した場合、DaraRun としては Sp…

メモリダンプ紛争?

HBgary が windd に噛みついて、windd 側でコメントしている雰囲気ですが、取得の仕組みや範囲についての解説は参考になる気がします。 windd.exe - Almost There, But Not Quite … https://www.hbgary.com/community/shawnblog/Reply to HBGary — and perso…