デバイス構成オーバーレイ

デバイス構成オーバーレイ( DCO ) は、今日のハードディスクドライブ(HDD)の多くにある隠し領域です。通常、情報が DCO またはホスト保護領域(HPA) に保存されている場合、 BIOS (またはUEFI )、OS 、またはユーザーはその情報にアクセスできません。ただし、特定のツールを使用して HPA または DCO を変更することができます。システムは IDENTIFY_DEVICE コマンドを使用して、特定のハードドライブでサポートされている機能を判断しますが、DCO はこのコマンドに対して、サポートされている機能が存在しない、またはドライブが実際よりも小さいと報告する場合があります。ディスクの実際のサイズと機能を判断するには、DEVICE_CONFIGURATION_IDENTIFY コマンドを使用し、このコマンドの出力を IDENTIFY_DEVICE の出力と比較して、特定のハードドライブに DCO が存在するかどうかを確認できます。ほとんどの主要ツールは、DEVICE_CONFIGURATION_RESET コマンドを使用して、ハードドライブを完全にイメージ化するために DCO を削除します。これは、電源サイクルのために一時的に削除できるホスト保護領域（HPA）とは異なり、ディスクを永続的に変更します。 ^[1]

用途

ATA-6 規格で初めて導入されたデバイス構成オーバーレイ (DCO) は、「システムベンダーが、異なるメーカーから異なるサイズの HDD を購入し、すべての HDD を同じセクター数に構成することを可能にします。この例としては、DCO を使用して 80 ギガバイトの HDD を (OS) と BIOS の両方に対して 60 ギガバイトの HDD として表示することが挙げられます。...これらの隠し領域にデータを配置する可能性があることを考えると、これはコンピューターフォレンジック調査員にとって懸念事項です。フォレンジック調査員にとってもう 1 つの問題は、 HPA および/または DCO が搭載された HDD のイメージを作成することです。一部のベンダーは、自社のツールが HPA を適切に検出してイメージを作成できると主張していますが、DCO の処理については何も言及していないか、自社のツールの能力を超えていると示唆しています。」^[2]

DCO ソフトウェアツール

検出ツール

HDAT2 は、 MS-DOS用の無料ソフトウェアプログラムです。ホスト保護領域 (HPA) の作成/削除 (コマンド SET MAX を使用) や DCO 隠し領域の作成/削除 (コマンド DCO MODIFY を使用) に使用できます。また、DCO で他の機能も実行できます。

Data Synergy のフリーウェアATAToolユーティリティを使用すると、Windows環境から DCO を検出できます。最近のバージョンでは、DCO を作成、削除、または凍結できます。^[3]

ソフトウェアイメージングツール

Guidance SoftwareのEnCase には、ハードドライブのイメージを作成する Linux ベースのツール LinEn が付属しています。LinEn 6.01 は2008 年 10 月に国立司法研究所(NIJ) によって検証され、「このツールはホスト保護領域 (HPA) も DCO も削除しません。ただし、Linux テスト環境はテストドライブ上の HPA を自動的に削除し、ツールは HPA によって隠されたセクターのイメージを作成できました。ツールは DCO によって隠されたセクターを取得できませんでした。」という結果が出ました。^[4]

AccessData の FTK Imager 2.5.3.14 は、2008 年 6 月に国立司法研究所(NIJ)によって検証されました。その調査結果によると、「ホスト保護領域またはデバイス構成オーバーレイのいずれかに隠しセクターがあるドライブの物理的な取得が行われた場合、ツールは HPA または DCO を削除しません。ツールは HPA によって隠されたセクターを取得しませんでした。」^[5]

ハードウェアイメージングツール

さまざまなハードウェアイメージングツールが DCO を検出して削除できることがわかっています。NIJ はデジタルフォレンジックツールを定期的にテストしており、これらの出版物は www.ojp.gov または NIST の https://www.nist.gov/itl/ssd/software-quality-group/computer-forensics-tool-testing-program-cftt で入手できます。

DCOの作成

Windows では、ユーザーはATAToolなどのツールを使用してDCO を作成できます。

ユーザーはハードドライブ 1 の DCO を 100 GB に設定できます。

ATATOOL /SETDCO:100GB \\.\物理ドライブ1

ユーザーはハードドライブ 1 上の 100 GB の DCO を削除できます。

ATATOOL /RESTOREDCO:100GB \\.\PhysicalDrive1

これらのコマンドは、データを含むコマンドを実行すると、データの損失やさらに悪い結果を引き起こす可能性があります。^[6]

参照

参考文献

^ Brian Carrier (2005). File System Forensic Analysis . Addison Wesley. p. 38. ISBN 0321268172。
^ Mark K. Rogers、Mayank R. Gupta、Michael D. Hoeschele (2006 年 9 月)。「Hidden Disk Areas: HPA and DCO」(PDF)。
^ Data Synergy UK (2015 年 7 月)。「ATATool - Data Synergy Windows HPA/DCO ユーティリティ」。
^ 国立司法研究所 (2008 年 10 月)。「NIJ によるデジタルデータ取得ツールのテスト結果: EnCase LinEn 6.01」(PDF)。5 ページ。
^ 国立司法研究所 (2008 年 6 月)。「NIJ のデジタルデータ取得ツールのテスト結果: FTK Imager 2.5.3.14」(PDF)。6 ページ。
^ 「Data Synergy の PowerMAN PC 電源管理ソフトウェア」。2017年2 月 3 日閲覧。

[carrier-1] Brian Carrier (2005). File System Forensic Analysis . Addison Wesley. p. 38. ISBN 0321268172。

[rogers-2] Mark K. Rogers、Mayank R. Gupta、Michael D. Hoeschele (2006 年 9 月)。「Hidden Disk Areas: HPA and DCO」(PDF)。

[datasynergy-3] Data Synergy UK (2015 年 7 月)。「ATATool - Data Synergy Windows HPA/DCO ユーティリティ」。

[linen-4] 国立司法研究所 (2008 年 10 月)。「NIJ によるデジタルデータ取得ツールのテスト結果: EnCase LinEn 6.01」(PDF)。5 ページ。

[ftk-5] 国立司法研究所 (2008 年 6 月)。「NIJ のデジタルデータ取得ツールのテスト結果: FTK Imager 2.5.3.14」(PDF)。6 ページ。

[6] 「Data Synergy の PowerMAN PC 電源管理ソフトウェア」。2017年2 月 3 日閲覧。

用途