IT forenzika – Windows

Forenzní analýza souborového systému NTFS – Základ téměř každého vyšetřování v systému Windows

Souborový systém NTFS (New Technology File System) tvoří již mnoho let základ moderních systémů Windows. Téměř každý soubor, každá složka a četné systémové informace jsou spravovány v rámci tohoto souborového systému. Z pohledu IT forenziky proto NTFS patří k nejdůležitějším zdrojům informací při vyšetřování počítače se systémem Windows.

Nezávazná poptávka

Profesionální analýza systému NTFS umožňuje sledovat pohyby souborů, vyhodnocovat časová razítka, posuzovat smazané záznamy a odhalovat souvislosti s dalšími artefakty systému Windows. Přitom se jednotlivé informace neposuzují izolovaně, ale vždy v celkovém kontextu vyšetřování.

Proč LanCologne?

Od svého založení se společnost LanCologne zaměřuje především na profesionální IT forenziku. Naši zaměstnanci mají desítky let zkušeností v oblasti informačních technologií a pomáhají firmám, advokátům, soukromým osobám a pravidelně také soudům při technickém objasňování složitých digitálních případů.

Vyšetřování souborových systémů NTFS se provádí výhradně na forenzní kopii, resp. forenzním obrazu. Původní důkazní materiál zůstává nedotčen a je uchováván v souladu s požadavky na zachování důkazní hodnoty.

Naše služby

Analyzujeme mimo jiné tabulku Master File Table (MFT), atributy souborů, časová razítka, struktury adresářů, smazané záznamy, přiřazení souborů a další metadata systému NTFS. Cílem je objektivní rekonstrukce technických procesů na základě dohledatelných artefaktů.

Typické oblasti použití

•Podezření na vymazání dat
•Krádež dat
•Obvinění z manipulace
•Rekonstrukce pohybu souborů
•Prozkoumání externích datových nosičů
•Podpora soudních řízení
•Soukromé a podnikové posudky

Takto probíhá forenzní vyšetřování systému NTFS

Po vytvoření forenzního obrazu se analyzují příslušné struktury NTFS. Získané informace se porovnávají s dalšími artefakty systému Windows, jako jsou registr, protokoly událostí nebo stopy z USB. Teprve celkové vyhodnocení umožňuje učinit spolehlivé technické závěry. Všechny kroky vyšetřování jsou podrobně zdokumentovány.

Proč je analýza NTFS tak důležitá?

Souborový systém NTFS obsahuje velké množství metadat, která daleko přesahují viditelný souborový obsah. Díky tomu lze často odhalit technické souvislosti, které při běžném posouzení zůstávají skryté. Odborná analýza proto představuje podstatnou součást téměř každého forenzního vyšetřování v systému Windows.

Často kladené otázky

Lze smazaný soubor ještě dohledat?+
V závislosti na konkrétním případě mohou metadata systému NTFS poskytnout informace o smazaných souborech.
Je vždy zkoumána originální zkušební vzorek?+
Ne. Analyzována je výhradně forenzní kopie, respektive forenzní obraz.
Může MFT sama prokázat daný skutkový stav?+
Ne. MFT je důležitý artefakt, ale vždy se vyhodnocuje společně s dalšími stopami.
Je systém NTFS důležitý i u externích pevných disků?+
Ano. Mnoho externích datových nosičů také používá systém NTFS.

LanCologne – Forenzní analýza systému Windows v Kolíně nad Rýnem

Potřebujete profesionální analýzu systému Windows nebo souborového systému NTFS? Společnost LanCologne vám pomůže s pořízením digitálních důkazů, které obstojí u soudu, a s transparentním vyhodnocením relevantních artefaktů souborového systému.

Kontaktujte nás hned teď