IT-kriminalteknik – Windows

Forensisk analyse af Master File Table (MFT) – Kernen i NTFS-filsystemet

Die Master File Table (MFT) ist eine der zentralen Strukturen des NTFS-Dateisystems. Für nahezu jede Datei und jedes Verzeichnis existiert ein eigener MFT-Eintrag, der zahlreiche Metadaten enthält. Im Rahmen einer professionellen Windows-Forensik liefert die MFT häufig wertvolle Hinweise auf die Existenz, Eigenschaften und Historie von Dateien.

Uforpligtende forespørgsel

Die MFT dient jedoch nicht als alleiniger Beweis. Erst die gemeinsame Auswertung mit weiteren Artefakten wie dem USN Journal, der Windows Registry, Event-Logs oder LNK-Dateien ermöglicht eine belastbare technische Rekonstruktion von Benutzeraktivitäten.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages som udgangspunkt udelukkende på en retsmedicinsk kopi eller et retsmedicinsk aftryk. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets bevismæssige værdi.

Vores tjenester

Vi analyserer MFT-poster, filattributter, tidsstempler, filnavne, mappeallokeringer og andre NTFS-metadata. Målet er en objektiv rekonstruktion af tekniske forløb samt en gennemsigtig dokumentation af alle konstateringer i forbindelse med en IT-forensisk ekspertvurdering.

Typiske anvendelsesområder

•Rekonstruktion af filbevægelser
•Undersøgelse af slettede filer
•Datatyveri
•Beskyldninger om manipulation
•Cyberangreb
•Arbejdsretlige sager
•Bevisførelse i retten

So läuft eine MFT-forensische Untersuchung ab

Efter oprettelsen af et forensisk aftryk udlæses og analyseres MFT-posterne. Derefter foretages en sammenholdelse med yderligere artefakter for at kunne fremstille de tekniske sammenhænge på en overskuelig måde. Alle trin i undersøgelsen dokumenteres fuldstændigt.

Warum ist die MFT so wichtig?

MFT indeholder omfattende oplysninger om filer og mapper og udgør dermed en væsentlig del af stort set enhver Windows-forensisk undersøgelse. Den giver ofte mulighed for at drage konklusioner om filhåndtering, men kan aldrig erstatte en samlet analyse af alle relevante artefakter.

Ofte stillede spørgsmål

Was ist die Master File Table?+
Die MFT ist die zentrale Dateiverwaltungstabelle des NTFS-Dateisystems.
Kann die MFT gelöschte Dateien nachweisen?+
Je nach Einzelfall können MFT-Einträge Hinweise auf gelöschte Dateien liefern.
Wird das Original analysiert?+
Nej. Der analyseres udelukkende en retsmedicinsk kopi eller et retsmedicinsk aftryk.
Reicht die MFT für ein Gutachten aus?+
Nein. Sie wird stets gemeinsam mit weiteren Artefakten bewertet.

LanCologne – Windows-forensik i Köln

Har du brug for en professionel analyse af Master File Table eller et Windows-system? LanCologne hjælper dig med at sikre digitale bevismidler på en måde, der kan bruges i retten, samt med en objektiv vurdering af relevante NTFS-artefakter.

Kontakt os nu