aburgh/disk-arbitratorMac OS X フォレンジックユーティリティ。フォレンジック手順を支援するため、ファイルシステムのマウントを管理します。
Disk Arbitrator は、ディスクデバイスのイメージング中に正しいフォレンジック手順が守られていることを確認するために設計された Mac OS X フォレンジックユーティリティです。Disk Arbitrator は基本的に、Disk Arbitration フレームワークへのユーザーインターフェースであり、このフレームワークにより、プログラムはファイルシステムの自動マウントを含むブロックストレージデバイスの管理に参加できます。有効にすると、Disk Arbitrator はファイルシステムのマウントをブロックし、読み書き用としてマウントされて証拠の完全性が損なわれることを防ぎます。
Disk Arbitrator がソフトウェアライトブロッカーではないことに注意することが重要です。現在接続されているデバイスの状態を変更することも、新しく接続されたデバイスに影響を与えて読み取り専用を強制することもありません。ユーザーは「dd」などのコマンドで誤ってディスクに書き込まないように注意する必要があります。このため、最も確実な手順のためには、ハードウェアまたはソフトウェアのライトブロッカーが依然として望ましい場合があります。Disk Arbitrator は、ライトブロッカーに追加の有用な機能を補完し、一般的なフォレンジック推奨事項である「ディスクアービトレーションを無効にする」を不要にします。
コンパイル済み実行ファイルへのリンクは、releases ページにあります。
インストールするには、Disk Arbitrator アプリケーションを目的の場所（例: /Applications）にドラッグします。
必要に応じて、ログインのたびに Disk Arbitrator が自動的に実行されるようにすることもできます。これには 2 つの方法があります。
システム環境設定の「ユーザとグループ」（古い OS X バージョンでは「アカウント」）ペインのログイン項目に Disk Arbitrator を追加します。
同梱の「Install User Launch Agent」機能（メニューからアクセス可能）を使用します。インストールすると、システムの launchd がログイン時に Disk Arbitrator を自動的に起動します（ログイン項目と同じです）。さらに、plist には、launchd がアプリケーションを監視し、クラッシュした場合や終了した場合に自動的に再起動するように指示する設定が含まれています。これにより、ログイン中は常に Disk Arbitrator が実行されているという最大の保証が得られます。
起動すると、メニューバー右側のステータスバーにアイコンが追加されます。ステータスバーのアイコンは 3 つの状態のいずれかを示します。
緑: ユーティリティは有効で、Block Mounts モードです。
オレンジ: ユーティリティは有効で、Read-only モードです。
グレー: ユーティリティは無効で、接続されたディスクはシステムによって自動的にマウントされます。
Disk Arbitrator はディスクの出現と消滅を継続的に監視し、メインウィンドウでディスクを追跡します。新しいディスクが接続されると、システムは Disk Arbitrator に通知し、ディスクボリュームのマウントを拒否する機会を与えます。Disk Arbitrator は次のように応答します。
無効の場合: ディスクの変更を監視するだけです。
有効で Block Mounts モードの場合: ボリュームをマウントする新しいシステムの試行をすべて拒否します。
有効で Read-only モードの場合: 最初のマウントアクションを拒否し、ボリュームをマウントする独自のリクエストを自動的に送信しますが、マウントにファイルシステムを読み取り専用にするオプションが含まれることを保証します。また、ファイルシステムの種類を確認し、HFS の場合はジャーナルを無視するフラグを含めます。
注意: Disk Arbitrator は、マウントプロセスに積極的に参加することで機能します。ユーティリティが無効になっているか、終了して実行されていない場合、接続されたディスクの自動マウントに対する保護はありません。ただし、ディスクが出現し、マウントまたはマウント拒否のプロセスが完了すると、ディスクの状態に影響を与えずに Disk Arbitrator を終了できます。
バージョン 0.3.0 以降、Disk Arbitrator はディスクイメージをサポートしています。
Disk Arbitrator の Attach Disk Image 機能を使用すると、ディスクイメージのアタッチが効果的に調整されます。メニューから「Attach Disk Image...」を選択すると、ディスクイメージのアタッチとマウントに関する追加オプションを含むオープンパネルが表示されます。デフォルトはディスクイメージのアタッチのみです。「Open」ボタンをクリックすると、Disk Arbitrator は hdiutil を使用してディスクをアタッチします。アタッチされると、Disk Arbitrator の通常の動作が適用されます。つまり、有効でモードが Read-Only に設定されている場合、ディスクイメージ上のボリュームは読み取り専用でマウントされます。モードが Block Mounts に設定されている場合、ボリュームは無視されます。
ディスクイメージのオープンパネルには、Disk Arbitrator が有効化されておらず、ディスクイメージをアタッチする便利な手段として使用されている場合にディスクイメージのマウントを試行するオプションが含まれています。マウントオプションを使用すると、Disk Arbitrator は hdiutil に "-mount optional" を渡します。これにより、ディスクイメージのアタッチとマウントが試行されますが、マウントが失敗した場合でもディスクイメージがデタッチされないという利点があります。
Disk Arbitrator は、ドラッグアンドドロップによるディスクイメージのアタッチもサポートしています。Finder ウィンドウから 1 つ以上のディスクイメージを Disk Arbitrator のディスクリストにドラッグするだけで、ディスクイメージのアタッチが開始されます。ドラッグアンドドロップを使用する場合、デフォルトのオプションには "-mount optional" が含まれるため、マウントも試行されます。マウントが失敗した場合、ディスクイメージはアタッチされたままになり、手動でマウントできます。
注:
Disk Arbitrator の外部でディスクイメージのアタッチとマウントを試行する場合（Finder でダブルクリックするか、hdiutil attach を使用する）の動作は以前と同じです。ディスクイメージはアタッチされ、次にシステムがマウントを試行し、Disk Arbitrator がマウントを拒否し、マウントが失敗したためディスクイメージはデタッチされます。
ソフトウェア使用許諾契約付きのディスクイメージがアタッチされた場合、Disk Arbitrator は自動的に契約に「はい」と応答します。Caveat Emptor。
Read-only モードに設定されている場合、Disk Arbitrator が送信するマウント要求にはジャーナルを無視するオプションが含まれます。これは、HFS ファイルシステムが最後にアンマウントされずにデタッチされた場合（例: システムのクラッシュ、または外部ドライブがイジェクトされずに抜かれた場合）に役立ちます。クリーンにイジェクトされなかったディスクを操作している場合、読み取り専用でのアタッチ試行は通常失敗します。HFS はジャーナルをリプレイする必要があることを認識しており、変更を行うことが許可されていないため、マウントに失敗します。
ダーティなファイルシステムを持つディスクイメージのマウントは、シャドウファイルを使用することで実現できますが、これは理想的とは言えません。シャドウファイルは元のディスクイメージを変更から保護しますが、ファイルシステムは読み書きでマウントされます。より良い選択肢は、ターミナルを使用して次の 2 つの手順を手動で実行することです。
hdiutil attach -nomount disk_image.dmgmount_hfs -j -o rdonly /dev/diskx /mount/pathDisk Arbitrator は 2 番目の手順を実行する便利な方法を提供しており、将来のバージョンでは両方の手順を 1 つの操作で実行します。