インストーラを実行できないロックされた PC や、ツール用 USB にバイナリだけ置きたいとき、ポータブル版の zip は便利です。ただし原則は同じです。可能なら、スキャンしているボリューム上に展開したり、そこから復元を実行しないでください。書き込みはすべて削除済みデータと競合します。
ポータブル版も設定、クラッシュダンプ、サムネイルなどをどこかに書きます。多くはユーザープロファイル下か実行ファイルの隣です。本番の前に捨て身のマシンでパスを確認しておき、ライブ障害の最中に驚かないようにしてください。
ポリシーとウイルス対策との関係
企業によっては未知の実行ファイルをブロックしたり、USB ツールを自動隔離します。Recuva が起動しないときは、Smart App Control と格闘するよりハッシュ検証と IT 承認の方が早いことがあります。監査で手順を再現できるよう、承認されたビルドを記録してください。
別の内蔵ディスクや別の USB メモリから実行するのが無難です。ポータブル用フォルダはシンプルに保ち、復旧の途中でクラウド同期エンジンを向けないでください。ポリシーが許せば、セカンダリパーティションへのインストール版でも、そのパーティションが消失元でなければ問題ありません。
ポータブルとインストーラ：実務上の違い
- インストーラはシェル拡張やスケジュールタスクを入れることがあり、証拠用ノート PC では望まない場合があります。
- ポータブル用フォルダは案件後に消しやすく、プライバシー重視の復旧に向きます。
- どちらのモードも宛先ディスクの空き容量が必要です。「念のため」の空の 2 TB USB を持参する方が、C: を復元データで埋めるよりましです。
BitLocker で保護されたボリュームをスキャンするときは、zip と exe より鍵とプロテクターが重要です。Windows がボリュームを解錠できなければ、Recuva は意味のある平文を見られません。まず暗号化を解決してください。
作業後、ポータブル用フォルダが誤ってクラウドバックアップに同期されていないか確認してください。同期対象のサブツリーに復元データがあるとテナントストレージに漏れることがあります。パニックから検証までの手順は、このページとあわせて作業の流れを参照してください。
UAC、昇格、「自分の PC では動いた」
一部のボリュームは生セクタを読むのに昇格した権限が必要です。標準ユーザーでポータブル版が黙って失敗する場合、昇格実行を試す前に、企業の SIEM に何が記録されるか把握してください。承認は文書化します。
バージョン固定と完全性
担当者ごとに別の zip を USB に置くとツールキットは腐ります。バージョンを決め、SHA-256 を記録し、スケジュールで更新します。セキュリティ上の義務がない限り、インシデントの真っ最中に更新しないでください。ハッシュが一致すれば、意図したビルドを実行した証明になります。
エアギャップとオフライン作業
ポータブル版の Recuva はスキャン中に当サイトへ接続する必要がないため、エアギャップ復旧に向きます。それでもポリシーが許すなら、スニーカーネットでツール更新を持ち込む計画は別途立ててください。
次の担当者への引き継ぎチェックリスト
- 安定していた物理ポートとリーダ型番。
- USB ブートを試す前に高速スタートアップを無効にしたか。
- 復元データに使った正確な宛先パスと残り空き容量。
クリーンアップと保管
案件が終わったら、ポリシーで求められるならツールキット用 USB を消去し、そうでなければ読み取り専用で保管します。クライアントのノート PC に残したポータブル用フォルダが訴訟のディスカバリー対象になった例があります。他のフォレンジック証跡と同様に扱ってください。