Glossaire
Horodatages MACB
Les quatre dates NTFS — Modified, Accessed, Changed (entrée MFT) et Born (création) — servant à bâtir des chronologies forensiques.
MACB désigne les quatre horodatages que NTFS conserve pour chaque fichier : Modified (dernière écriture du contenu), Accessed (dernière lecture), Changed (l'entrée MFT elle-même a été mise à jour, par ex. permissions ou nom) et Born (création du fichier). Ensemble, ils permettent à l'enquêteur de reconstituer quand un fichier est apparu, a été utilisé et a été modifié.
Chaque fichier porte en réalité deux jeux de ces dates. L'attribut $STANDARD_INFORMATION contient les valeurs affichées par Windows et facilement modifiables par des outils en mode utilisateur, tandis que $FILE_NAME en conserve une copie normalement mise à jour uniquement par le noyau. Comparer ces deux jeux est une technique clé pour détecter une falsification, car les outils anti-forensiques ne réécrivent souvent que $STANDARD_INFORMATION.
M = Modified (modification du contenu)
A = Accessed (dernière lecture)
C = Changed (modification des métadonnées MFT)
B = Born (création)
Voir aussi Timestomping et Master File Table (MFT).