05 · NTFS et système de fichiers
Forensique NTFS : $MFT, journal USN et $LogFile décryptés
Lire NTFS en analyste : structure des enregistrements MFT, horodatages $SI et $FN, timestomping, flags USN, $LogFile, slack $I30 et fichiers supprimés.
Domaine 05
NTFS et système de fichiers
NTFS enregistre bien plus que le contenu des fichiers. Ce domaine couvre les enregistrements et attributs de la MFT, les horodatages $STANDARD_INFORMATION face à $FILE_NAME, le journal de modifications USN, le $LogFile, le slack $I30, les flux de données alternatifs, la détection du timestomping et la récupération d'entrées supprimées.
Sources clés
- $MFT
- $UsnJrnl:$J
- $LogFile
Guides de ce domaine
Fiches artefacts
Emplacement selon la version de Windows, ce que prouve chaque artefact, ses horodatages et les outils pour l'analyser.
- Table de fichiers maîtres ($MFT)Fiche $MFT : enregistrements FILE, horodatages $SI et $FN, données résidentes, entrées supprimées, numéros de séquence, timestomping et MFTECmd.
- Journal USN ($UsnJrnl:$J)Fiche journal USN : $UsnJrnl:$J et $Max, champs, indicateurs Reason, référence parent, taille par défaut, rotation, fsutil et analyse avec MFTECmd.
- $LogFile (journal de transactions NTFS)Fiche $LogFile : journal des métadonnées NTFS (enregistrement MFT 2), 64 Mo par défaut, opérations redo/undo, zone de redémarrage, rétention courte.
- Attributs d'index $I30Fiche $I30 : index de dossiers NTFS ($INDEX_ROOT, $INDEX_ALLOCATION), enregistrements INDX, horodatages, entrées de slack de fichiers supprimés.
- Descripteurs de sécurité $Secure:$SDSFiche $Secure:$SDS : magasin NTFS des descripteurs de sécurité, index $SDH et $SII, Security ID du $SI, SID propriétaire, ACL, collecte et MFTECmd.
- Zone.Identifier (Mark of the Web)Fiche Zone.Identifier : flux ADS Mark of the Web, ZoneId 0 à 4, ReferrerUrl et HostUrl selon le navigateur, pertes et contournements, collecte via la $MFT.
- CorbeilleFiche Corbeille : fichiers $I et $R de $Recycle.Bin, $I version 1 et 2, INFO2 sous XP, date de suppression, chemin d'origine, vidage et Maj+Suppr.
- Images disque montées (ISO, IMG, VHD, VHDX)Fiche images disque montées : ISO/IMG/VHD/VHDX, événements VHDMP, MountedDevices, traces LNK et Jump Lists, failles Mark-of-the-Web et méthode de détection.