ホスト保護領域

ホスト保護領域（HPA ）は、ハードドライブまたはソリッドステートドライブの領域で、通常はオペレーティングシステムから見えない領域です。これは、2001年にATA-4規格CXV（T13）で初めて導入されました。^{[ 1 ]}

仕組み

HPAの作成。この図は、ホスト保護領域（HPA）がどのように作成されるかを示しています。
IDENTIFY DEVICE はハードドライブの実際のサイズを返します。READ NATIVE MAX ADDRESS はハードドライブの実際のサイズを返します。
SET MAX ADDRESS はハードドライブの報告サイズを縮小します。READ NATIVE MAX ADDRESS はハードドライブの実際のサイズを返します。HPA が作成されました。
IDENTIFY DEVICE は、ハードドライブの偽のサイズを返します。READ NATIVE MAX ADDRESS は、ハードドライブの実際のサイズを返します。HPA は存在します。

IDEコントローラには、ATAコマンドを使用して照会できるデータを含むレジスタがあります。返されるデータは、コントローラに接続されているドライブに関する情報を示します。ホスト保護領域の作成と使用には、3つのATAコマンドが関係します。それらのコマンドは次のとおりです。

デバイスを識別する
最大アドレスを設定する
ネイティブMAXアドレスの読み取り

オペレーティングシステムは、IDENTIFY DEVICEコマンドを使用してハードドライブのアドレス指定可能な領域を検出します。IDENTIFY DEVICEコマンドは、IDEコントローラ上の特定のレジスタに問い合わせてドライブのサイズを特定します。

ただし、このレジスタはSET MAX ADDRESS ATAコマンドを使用して変更できます。レジスタの値が実際のハードドライブのサイズよりも小さい値に設定されている場合、実質的にホスト保護領域が作成されます。これは、OSがIDENTIFY DEVICEコマンドによって返されるレジスタの値のみを使用するため、通常はHPA内にあるドライブの領域にアクセスできないためです。

HPAは、他のソフトウェアまたはファームウェア（BIOSやUEFIなど）がそれを使用できる場合にのみ有効です。HPAを使用できるソフトウェアおよびファームウェアは、「HPA対応」と呼ばれます。これらのエンティティが使用するATAコマンドは、READ NATIVE MAX ADDRESSと呼ばれます。このコマンドは、ハードドライブの実際のサイズを含むレジスタにアクセスします。この領域を使用するために、制御するHPA対応プログラムは、IDENTIFY DEVICEによって読み取られたレジスタの値を、READ NATIVE MAX ADDRESSによって読み取られたレジスタの値に変更します。処理が完了すると、IDENTIFY DEVICEによって読み取られたレジスタは元の偽の値に戻されます。

使用

HPAは、通常BIOSと連携して、さまざまなブートユーティリティや診断ユーティリティで使用できます。この実装の例として、ブートエンジニアリング拡張レコード（BEER）と保護領域ランタイムインターフェイス拡張サービス（PARTIES ）を使用するPhoenix FirstBIOSがあります。^[²^]
HPAは、違法とみなされるデータを保存するのにも使用でき、そのため政府や警察のコンピュータフォレンジックチームにとって関心のあるデータとなる。^{[ 3 ]}
一部のルートキットは、アンチルートキットおよびアンチウイルスソフトウェアによる検出を回避するためにHPAに潜伏します。^{[ 2 ]}
NSAの攻撃の中には、アプリケーションの永続化にHPAを使用するものがある。^{[ 4 ]}

識別

ハードドライブ上のHPAを識別するには、いくつかのツールと方法があります。

ATATool by Data Synergy
Guidance Software社のEnCase
アクセスデータ社製フォレンジックツールキット
hdparm by Mark Lord
Brian Carrier氏によるSleuth Kit（無料のオープンソースソフトウェア）（HPA識別機能は現在Linuxのみでサポートされています。）

参考文献

↑ 「ホスト保護区域」（PDF）。Utica.edu 。
1 2 Blunden, Bill (2009). The rootkit arsenal: escape and evasion in the dark corners of the system . Plano, Texas : Wordware Pub. p. 538. ISBN 978-1-59822-061-2. OCLC 297145864 .
↑ネルソン、ビル；フィリップス、アメリア；スチュアート、クリストファー（2010）。コンピュータフォレンジックと調査の手引き（第4版）。ボストン：コーステクノロジー、センゲージラーニング。334ページ。ISBN 978-1-435-49883-9。
↑ 「SWAP：NSAの今日のエクスプロイト - Schneier on Security」。2014年2月6日。

外部リンク

探偵キット
国際デジタルエビデンスジャーナル
ThinkPadユーザー向けWiki Web

[1] 「ホスト保護区域」（PDF）。Utica.edu 。

[:0-2] 1 2 Blunden, Bill (2009). The rootkit arsenal: escape and evasion in the dark corners of the system . Plano, Texas : Wordware Pub. p. 538. ISBN 978-1-59822-061-2. OCLC 297145864 .

[3] ネルソン、ビル；フィリップス、アメリア；スチュアート、クリストファー（2010）。コンピュータフォレンジックと調査の手引き（第4版）。ボストン：コーステクノロジー、センゲージラーニング。334ページ。ISBN 978-1-435-49883-9。

[4] 「SWAP：NSAの今日のエクスプロイト - Schneier on Security」。2014年2月6日。

[ 1 ]

[ 3 ]

[ 4 ]

仕組み

使用

識別

関連項目

参考文献

外部リンク