Données résidentes

Les données résidentes (resident data) sont le contenu d'un attribut NTFS stocké directement dans l'enregistrement du fichier au sein de la $MFT, plutôt que dans des clusters ailleurs sur le volume. Chaque enregistrement MFT est petit (généralement 1 024 octets) : seuls les petits fichiers et les petits flux de données alternatifs tiennent après les en-têtes et les autres attributs. Au-delà, le contenu est stocké de façon non résidente : l'attribut contient alors une liste de « data runs » pointant vers des clusters sur le disque.

Cela a plusieurs conséquences forensiques :

• Le contenu des petits fichiers, comme de courts scripts, des extraits de configuration ou des flux Zone.Identifier, peut être récupéré à partir de la seule MFT, même sans le reste de l'image disque.
• Lorsqu'un petit fichier est supprimé, son enregistrement est marqué comme libre mais pas effacé : le contenu résident survit souvent jusqu'à la réutilisation de l'enregistrement. Les analyseurs de MFT et les outils de carving peuvent l'extraire.
• Le contenu résident n'occupant jamais ses propres clusters, on ne le trouvera pas en faisant du carving dans l'espace non alloué : il faut le récupérer dans la MFT elle-même.

Le statut résident n'est pas définitif. Si un fichier grossit au-delà de ce que l'enregistrement peut contenir, NTFS déplace son contenu vers des clusters et l'attribut devient non résident. Gardez-le en tête pour expliquer pourquoi certains fichiers supprimés sont entièrement récupérables et d'autres non. Voir aussi NTFS et Master File Table (MFT).