TestDisk は、自由でオープンソースの データ復元プログラムであり、失われたパーティション の復元や壊れたファイルシステムの復元をすることができる[ 1] DOS 、Microsoft Windows (NT 4.0 、2000 、XP 、Server 2003 、Server 2008 、Vista 、Windows 7 、Windows 8.1 、Windows 10 )、Linux 、FreeBSD 、NetBSD 、OpenBSD 、SunOS 、MacOS をサポートしている。パーティションされていないメディアとパーティションされているメディアのどちらも操作できる[ 2] GUID Partition Table (GPT)、 Apple partition map、PC/Intel BIOS partition tables、Sun Solaris slice、Xbox fixed partitioning schemeを認識できる。TestDiskの操作にはキャラクタユーザインタフェース(CLI) を用いる。TestDiskによって、削除されたファイルを97%の精度で復元することができる[ 3]
TestDiskは削除したパーティションの復元、パーティションテーブルの再構成やマスターブートレコード (MBR)の書き直しをすることができる[ 4] [ 3]
TestDiskはデータを保存したデバイス (たとえばハードディスクドライブ 、メモリーカード 、USBフラッシュドライブ 、もしくは仮想ディスク のイメージ) のLBA やCHS の配置を、BIOS やオペレーティングシステム から取り出す。この配置の情報は復元を成功させるために必要である。TestDiskはデバイスのセクターを読み取り、パーティションテーブルやファイルシステムに修復が必要かどうかを判断する(次項を参照)。
TestDiskが認識できるパーティションテーブルのフォーマットは以下の通り[ 2]
Apple partition map
GUID Partition Table
Humax
PC/Intel Partition Table (master boot record)
Sun Solaris slice
Xbox fixed partitioning scheme
Non-partitioned media TestDiskはさらに細かいチェックで、パーティションテーブルから削除されたパーティションを配置することができる[ 2]
パーティションの配置後、TestDiskはパーティションテーブルの再構築とMBRの書き直しを行える[ 2]
TestDiskはいくつかの論理ファイルシステムに関しては修復することができる[ 5]
ファイルか削除されたとき、そのファイルの占めていたディスク内のクラスタの情報が消去され、その後に別のファイルの作成や修正をする際に利用可能なように印がつけられる。特に、もしそのファイルがフラグメンテーションされておらず、そのクラスタが再利用されていない場合は、TestDiskは削除されたファイルを復元することができる。
TesDiskのパッケージには２つのファイル復元の方法がある[ 2]
TestDiskは、ファイルシステムの情報を適切に用いて復元を行う。
PhotoRec は「file carver」である。ファイルシステムの情報を使うのではなく、パーティションやディスクの中でファイルフォーマットのパターンを探す。フラグメンテーション化していないファイルに対しては有効である。ファイル名を復元することはできない。
TestDiskはデジタル・フォレンジック の分野で、ずっと昔に削除されたパーティションを回復するために使用できる[ 3] EnCase (英語版 )で使われているExpert Witness File Formatなど、様々な種類のディスクイメージをマウントすることができる[ 2] ddrescue で作られたバイナリのディスクイメージなども、デバイスと同様にマウントすることが可能である[ 6]
バージョン7以前のTestDiskでは、細工されたディスクやイメージを用いて、Cygwin 上のTestDiskに悪意のあるコードを挿入することが可能であった[ 6]
TestDiskのファイルシステムのサポート状況を次の表に示す。
パーティションテーブルの編集やPhotoRecの「carving」などの機能は、どのファイルシステムでも使用できる。
^ a b Find filesystem parameters to rewrite a valid BIOS parameter block (analogous to "superblocks" in Unix file systems)
^ a b c d Restore the BPB using its backup (NTFS, FAT32, exFAT)
^ Use the two copies of the FAT to rewrite a coherent version
^ Restore the Master File Table (MFT) from its backup
^ Find backup superblock location to assist fsck
^ RAID 1: mirroring, RAID 4: striped array with parity device, RAID 5: striped array with distributed parity information and RAID 6: striped array with distributed dual redundancy information
^ Moggridge, J. (2017). “Security of patient data when decommissioning ultrasound systems” . Ultrasound (Leeds, England) 25 (1): 16–24. doi :10.1177/1742271X16688043 . PMC 5308389 . PMID 28228821 . https://www.ncbi.nlm.nih.gov/pmc/articles/PMC5308389/ . ^ a b c d e f g h Grenier, Christophe (2021-05-31), TestDisk Documentation , https://www.cgsecurity.org/testdisk_doc/ PDF )
^ a b c kumar, Hany; Saharan, Ravi; Panda, Saroj Kumar (March 2020). “Identification of Potential Forensic Artifacts in Cloud Storage Application” . 2020 International Conference on Computer Science, Engineering and Applications (ICCSEA) . pp. 1–5. doi :10.1109/ICCSEA49143.2020.9132869 . ISBN 978-1-7281-5830-3 . https://ieeexplore.ieee.org/document/9132869
^ Debra Littlejohn Shinder, Michael Cross (2002). Scene of the cybercrime , page 328. Syngress. ISBN 978-1-931836-65-4 .
^ Jack Wiles, Kevin Cardwell, Anthony Reyes (2007). The best damn cybercrime and digital forensics book period , page 373. Syngress. ISBN 978-1-59749-228-7 .
^ a b Németh, Z. L. (2015). “Modern binary attacks and defences in the windows environment — Fighting against microsoft EMET in seven rounds” . 2015 IEEE 13th International Symposium on Intelligent Systems and Informatics (SISY) . pp. 275–280. doi :10.1109/SISY.2015.7325394 . ISBN 978-1-4673-9388-1 . https://ieeexplore.ieee.org/document/7325394
Test Disk Team:
Main Contributor: Christophe Grenier. Location: Paris, France. URL: cgsecurity.org. He started the project in 1998 and is still the main developer. He is also responsible for the packaging of TestDisk & PhotoRec for DOS, Windows, Linux (generic version), MacOS X, and Fedora distribution.
