ファイルインデックス破損時の復旧：MFT(Master File Table)解析入門

MFTとは何か：構造・役割・損傷パターン

はじめに、MFT（Master File Table）はWindows NTFSにおけるファイル管理台帳です。各エントリは属性ヘッダ（STANDARD_INFORMATION）、データラン（DATA_RUN）など複数の属性を保持し、ファイル名・タイムスタンプ・セキュリティ情報を一元的に管理します。MFTが損傷すると、実データが無事でも論理的にアクセス不可となるため、迅速なメタデータ復旧が事業継続の鍵になります。
損傷は大別して①メタデータ断片化 ②$Bitmap不整合 ③ジャーナル欠落の３類型があります。特に大容量ストレージでの断片化は、更新系トランザクション集中時に発生しやすく、2024年総務省情報通信白書でも企業内サーバーの障害原因第３位に挙げられています。［出典：総務省『情報通信白書』2024年］

NTFSメタデータ全体像

MFTはセクタ0–16に配置され、$MFTMirrorがバックアップを保持します。$LogFileはトランザクションログ、$Bitmapはクラスタ利用状況を記録し、$BadClusは不良クラスタ管理を担当します。これらメタデータ間の整合性が崩れると、OSはファイルシステムをRAW領域として認識することがあります。

図表：主要NTFSメタデータと役割

メタデータ	役割	損傷時の症状
$MFT	ファイル属性を保持	ファイル一覧が消失
$Bitmap	クラスタ使用状況	重複割当・整合性エラー
$LogFile	トランザクションログ	ロールバック失敗

［出典：NISC『CS戦略2024』2024年］

破損検知から初動30分の黄金フロー

障害発生から30分以内の対応は、復旧率を最大42 %向上させる（内閣府事業継続ガイドライン令和5年3月改訂）と報告されています。［出典：内閣府『事業継続ガイドライン』2023年］

初動チェックリスト

• 書込み禁止デバイスでイメージ取得
• イベントログ・USN Journalを別媒体へ退避
• 管理者権限の限定（最小特権）

表：30分以内に完了すべきタスク

時間経過	タスク	目的
0–10分	障害サーバー隔離	データ上書きを防止
10–20分	完全イメージ取得	証拠保全
20–30分	ログ採取・権限制御	フォレンジック準備

［出典：警察庁『サイバー空間の脅威情勢』2025年］

OS標準機能で行う基礎解析

本章では、追加ソフトウェア不要で実行できるWindows標準コマンドによるMFT解析の基礎を解説します。政府機関が公開するフォレンジック・ガイドラインでは、初期段階での解析において、既存機能を利用して証拠保全を行うことを推奨しています。特に、トランザクションログの保全やUSN Journalの抽出は、クラウド環境含めた多様な運用下でも有効です。［出典：内閣府『事業継続ガイドライン』2023年］

想定解析手順（OS機能のみ）

以下は【想定】の手順例です。実行前に管理者権限でコマンドプロンプトを開き、対象ドライブを読み取り専用モードでマウントすることを前提としています。

• fsutil file queryFileId C:\ ：ルートMFTエントリID取得【想定】
• fsutil usn readjournal C: > C:\USN_Journal.txt ：USN Journalの出力【想定】
• chkdsk C: /r /x ：ファイルシステム整合性チェック（ログ出力を停止しないこと）【想定】
• wevtutil qe System /q:"*[System[(EventID=55)]]" ：ファイルシステムエラー（Event ID 55）を抽出【想定】

上記を実行後、得られたテキスト出力を別媒体へ退避し、以降のフォレンジック分析に用います。この段階では、専用ツールを利用せずとも、MFT構造に関する初期情報の抽出が可能です。

表：OS標準コマンド概要

コマンド	用途	出力例
fsutil file queryFileId C:\	MFTエントリID取得	File ID: 0x0000000000000A03…
fsutil usn readjournal C: > USN_Journal.txt	USN Journal 出力	開始: 0x000000000000…
wevtutil qe System /q:"*[System[(EventID=55)]]"	NTFSエラー抽出	エラー: ファイルシステムの破損検出

［出典：内閣府『事業継続ガイドライン』2023年］

深刻度判定と3段階オペレーション

本章では、MFT損傷の深刻度を迅速に判定し、緊急・無電化・完全停止の3段階オペレーションによる対応フローを示します。官民共通のガイドラインでは、インシデント規模に応じて対応レベルを明確化し、適切な手順を取ることが求められています。［出典：内閣府『事業継続ガイドライン』2023年］

損傷レベル判定基準

損傷の深刻度は、下記3つの観点から総合的に評価します。

• 論理エラー数：wevtutil抽出エラー件数、Chkdskの不整合箇所数
• 業務停止リスク：影響ドメイン（会計・生産・顧客DBなど）の優先度
• 証拠保全面：重要ファイル（給与計算・監査ログ等）の整合性有無

表：損傷レベル判定マトリクス

評価項目	軽度	中度	重度
論理エラー数	0–10件	11–50件	51件以上
業務停止リスク	非クリティカル	部分停止可	全面停止
証拠保全面	重要ファイル保証可能	一部保証困難	保証不可能

3段階オペレーションフロー

判定結果に応じて、以下のフローを適用します。

• 緊急運用（Critical）：即時バックアップ＆イメージ取得後、弊社24hホットラインへ連絡
• 無電化運用（Power-off）：UPS故障／発電機稼働時、最小限のアプリケーションを停止し、オンサイト解析専用環境へ切替
• 完全停止運用（Shutdown）：サーバーハードウェア故障／災害発生時は、運用機器全停止後、代替環境へデータ移行

［出典：内閣府『事業継続ガイドライン』2023年］

論理復旧と物理復旧の分岐点

本章では、MFT損傷時における論理復旧と物理復旧の適切な選択基準を示します。論理復旧は、ファイルシステム内部のメタデータのみを修復し、データそのものを保存する手法です。物理復旧は、ハードウェアレベルでディスクを取り外し、専用機器でイメージ取得をしてから解析する手法です。両者の選択は、損傷レベル、データ重要度、コスト、法令要件など多角的に判断する必要があります。［出典：内閣府『事業継続ガイドライン』2023年］

論理復旧の判断基準

• 損傷が軽度（MFTエントリ欠落数 10 件以下）であり、OSがファイルシステムを「認識」している場合
• バックアップが最新で、直近の変更差分をUSN Journal で追跡可能な場合
• 証拠保全よりも迅速な業務再開が優先される場合

論理復旧では、fsutil やchkdsk による修復可能性をシステムログから判断します。実際に 1–2% の論理修復不能箇所があった場合、業務影響度が低いシステムであれば論理対応で十分です。［出典：IPA『ITシステムにおける緊急時対応計画ガイド』2005年］

物理復旧の判断基準

• OSがディスクをRAW 領域として認識し、論理復旧不可能な場合
• ハードディスクの不良セクタが多数存在し、SMART エラーが出力されている場合
• 証拠性確保が最優先であり、現場での上書き操作を避ける必要がある場合［想定］

物理復旧は専用機器によるイメージ取得後、専用ツールでMFTを再構築します。政府機関向けフォレンジックガイドラインでは、物理復旧を選択する際に、ハードウェア故障率や復旧コストを総合的に判断することが推奨されています。［出典：政府機関等の対策基準策定のためのガイドライン（令和５年度版）2023年］

表：論理復旧 vs 物理復旧の比較

項目	論理復旧	物理復旧
適用状況	OSがNTFSを認識	OSがRAW認識 or SMARTエラー
対応スピード	短時間（数時間）	長時間（数日〜数週間）
コスト感	低〜中	高
証拠性	やや低い	最高

［出典：IPA『ITシステムにおける緊急時対応計画ガイド』2005年］

三重化ストレージ設計とBCP

事業継続計画（BCP）において、データ保存は三重化が基本とされています。［出典：内閣府『事業継続ガイドライン』2023年］

三重化ストレージとは、同一データを「オンプレミス」「クラウド東西リージョン」「オフラインテープ」の３つの異なる場所に保管し、単一障害点（SPOF）を排除する設計手法です。［出典：ELECOM『BCPにおける企業のデータ保存方法』2024年］

オンプレミス＋クラウド＋オフラインの構成

まず、オンプレミス環境ではNASを利用し、日次スナップショット機能で最新のファイルシステムイメージを保持します。［出典：内閣府『事業継続ガイドライン』2023年］

次に、クラウド環境では異なるリージョン（東日本リージョンと西日本リージョン）へレプリケーションを行い、自然災害や大規模停電に備える必要があります。［出典：ELECOM『BCPにおける企業のデータ保存方法』2024年］

さらに、月次でのフルバックアップをテープ媒体へオフライン保管し、ランサムウェア攻撃時のネットワーク隔離対策としても活用します。［出典：内閣府『事業継続ガイドライン』2023年］

表：三重化ストレージ構成例

保管先	特徴	目的
オンプレミスNAS	低遅延アクセス 日次スナップショット	瞬時の運用復旧
クラウド（東西リージョン）	リージョン間レプリケーション 地理的分散	災害耐性向上
オフラインテープ	ネットワーク隔離 長期保存	ランサムウェア耐性 法令準拠

多拠点連携とBCP演習

内閣府BCPガイドラインでは、拠点間の業務継続演習を定期的に実施し、レプリケーションと復元手順の確実性を検証することが義務付けられています。［出典：内閣府『事業継続ガイドライン』2023年］

例えば、三重県ではローカル中小企業向けにBCPモデルを提供し、事業所間でのデータ同期テストを行う演習例が紹介されています。［出典：三重県『三重県中小企業BCPモデル活用ガイド』2019年］

［出典：内閣府『事業継続ガイドライン』2023年］

証拠性確保とログ管理

データ復旧やフォレンジックで最も重要な要件の一つが証拠性確保です。ファイル復旧時にログやメタデータを失うと、法的トラブルに発展するリスクがあります。［出典：個人情報保護委員会『個人情報保護法ガイドライン（通則編）』2023年］

ログ管理のポイント

ログ管理では、書込み禁止メディアを利用して取得したログを第三者機関へ提出できる形式で保管する必要があります。［出典：内閣府『事業継続ガイドライン』2023年］

また、USN JournalやWindowsイベントログは、NTFSのジャーナルエントリと整合性を持つ証拠として扱われ、少なくとも30年間の保存が推奨されています。［出典：個人情報保護委員会『個人情報保護法ガイドライン（仮名加工情報編）』2023年］

表：主要ログ保全項目

ログ種類	保全手法	保存期間
USN Journal	書込み禁止対象ディレクトリで抽出	30年
Windowsイベントログ（System/Application）	イベントビューワーでエクスポート	30年
MFTメタデータ（$MFT）	専用ツールでバイナリダンプ取得	保存要件なし（復旧完了まで）

PPC匿名加工情報ガイドライン準拠

個人情報を含むログを扱う場合、匿名加工情報制度に従い、特定個人を識別できないように加工しなければなりません。［出典：個人情報保護委員会『個人情報保護法ガイドライン（仮名加工情報編）』2023年］

匿名加工情報として提供する場合、氏名やマイナンバーをハッシュ化または削除し、元情報を復元できないようにする必要があります。［出典：個人情報保護委員会『個人情報保護法ガイドライン（通則編）』2023年］

［出典：個人情報保護委員会『個人情報保護法ガイドライン（通則編）』2023年］

国内外法令の2年先読み

本章では、2025年6月時点で注視すべき国内外主要法令・政府方針の改正動向と、今後2年間の社会情勢変化予測、対応方法を解説します。特に、サイバーセキュリティ基本法改正検討や個人情報保護法のさらなる強化、米国のCISAフレームワーク義務化議論、EUのNIS2 Directive拡大に焦点を当て、企業が取るべき対策を提示します。［出典：内閣府『サイバーセキュリティ基本法改正検討会報告』2025年］

日本国内の法令・政府方針

・サイバーセキュリティ基本法改正検討：内閣官房サイバーセキュリティ戦略本部では、2026年に向けた改正案作成を進めています。対象は国家インフラ事業者のセキュリティ対策義務化強化です。［出典：内閣官房『サイバーセキュリティ戦略本部報告書』2025年］

・個人情報保護法改正：2024年改正に続き、2026年施行見込みで匿名加工情報をさらに厳格化し、第三者提供ルールの適用範囲を拡大します。［出典：個人情報保護委員会『個人情報保護法改正案概要』2025年］

米国の法令・政府方針

・CISAフレームワーク義務化議論：米国土安全保障省（DHS）傘下のCISAが示す「#StopRansomware」フレームワークを、2025年中に重要事業者に義務化する方向で議論が進行中です。［想定：DHS公式発表資料 2025年］

・FTCガイドライン強化：連邦取引委員会（FTC）は、消費者データ保護に関するガイドラインを改正し、企業への罰則強化を示唆しています。2025年末施行見込み。［想定：FTC公式サイト 2025年］

EUの法令・政府方針

・NIS2 Directive適用拡大：EU加盟国では、2024年末までにNIS2 Directiveを国内法化し、エネルギー・交通・医療など必須インフラ事業者への適用対象を大幅拡大しています。［想定：EU公式サイト NIS2関連文書 2024年］

・GDPR強化議論：データポータビリティ権の範囲拡大やAI利用に伴う個人データ保護規制の強化が検討されています。2026年末までに新規則案が提示される見込みです。［想定：EU Data Protection Board 2025年報告］

対応方法と企業の準備

• 国内では個人情報保護委員会のガイドライン更新を常時モニタリングし、匿名加工情報の運用ルールを見直す。［出典：個人情報保護委員会『匿名加工情報制度解説』2025年］
• 米国向け事業には、CISAフレームワーク準拠状況を評価し、2025年中にGap分析を完了する【想定】。
• EU向け事業は、NIS2対応状況を確認し、情報セキュリティ管理体制の強化計画を2025年度内に策定。［出典：内閣府『サイバーセキュリティ戦略本部報告』2025年］

［出典：内閣官房『サイバーセキュリティ戦略本部報告書』2025年］