Glossaire
NTFS
NTFS est le système de fichiers par défaut de Windows ; ses fichiers de métadonnées ($MFT, $LogFile, $UsnJrnl) sont des sources forensiques centrales.
NTFS (New Technology File System) est le système de fichiers par défaut des volumes système Windows. Présent dans Windows NT depuis le début des années 1990, c'est celui que l'enquêteur trouve sur la quasi-totalité des disques de postes de travail et de serveurs Windows.
NTFS traite tout comme un fichier, y compris ses propres structures. La Master File Table ($MFT) contient un enregistrement pour chaque fichier et répertoire, et chaque enregistrement se compose d'attributs comme $STANDARD_INFORMATION, $FILE_NAME et $DATA. D'autres fichiers de métadonnées se trouvent à la racine du volume, invisibles en navigation normale : $LogFile pour la reprise transactionnelle, $Bitmap pour l'allocation des clusters, $Secure pour les descripteurs de sécurité et, sous $Extend, le journal des modifications $UsnJrnl.
Cette conception est une aubaine pour la forensique. Chaque fichier porte deux jeux d'horodatages (voir $STANDARD_INFORMATION et $FILE_NAME), les petits fichiers peuvent être stockés comme données résidentes dans l'enregistrement MFT lui-même, et des fonctionnalités comme les flux de données alternatifs permettent de dissimuler du contenu derrière un fichier ordinaire. Les fichiers supprimés restent souvent récupérables, car leurs enregistrements MFT sont seulement marqués comme libres jusqu'à ce qu'ils soient réutilisés.
Les artefacts NTFS les plus utiles de ce site sont la $MFT, le $UsnJrnl et le $LogFile. Analysez-les ensemble : la MFT donne l'état actuel, tandis que les journaux retracent l'évolution des fichiers dans le temps.
Artefacts concernés
- $LogFile (journal de transactions NTFS)Fiche $LogFile : journal des métadonnées NTFS (enregistrement MFT 2), 64 Mo par défaut, opérations redo/undo, zone de redémarrage, rétention courte.
- Attributs d'index $I30Fiche $I30 : index de dossiers NTFS ($INDEX_ROOT, $INDEX_ALLOCATION), enregistrements INDX, horodatages, entrées de slack de fichiers supprimés.
- Clichés instantanés de volume (VSS)Fiche clichés instantanés VSS : fichiers de stockage dans System Volume Information, copie sur écriture, suppression par rançongiciel, montage et analyse.
- Descripteurs de sécurité $Secure:$SDSFiche $Secure:$SDS : magasin NTFS des descripteurs de sécurité, index $SDH et $SII, Security ID du $SI, SID propriétaire, ACL, collecte et MFTECmd.
- Journal USN ($UsnJrnl:$J)Fiche journal USN : $UsnJrnl:$J et $Max, champs, indicateurs Reason, référence parent, taille par défaut, rotation, fsutil et analyse avec MFTECmd.
- Zone.Identifier (Mark of the Web)Fiche Zone.Identifier : flux ADS Mark of the Web, ZoneId 0 à 4, ReferrerUrl et HostUrl selon le navigateur, pertes et contournements, collecte via la $MFT.