Informatica forense – Windows

Analisi forense del file system NTFS – La base di quasi tutte le indagini su Windows

Il file system NTFS (New Technology File System) costituisce da molti anni la base dei moderni sistemi Windows. Quasi tutti i file, tutte le cartelle e numerose informazioni di sistema vengono gestiti all’interno di questo file system. Dal punto di vista dell’informatica forense, l’NTFS è quindi una delle fonti di informazioni più importanti nell’analisi di un computer Windows.

Richiesta non vincolante

Un'analisi professionale del file system NTFS consente di ricostruire i movimenti dei file, valutare i timestamp, analizzare le voci cancellate e stabilire collegamenti con altri artefatti di Windows. In questo processo, le singole informazioni non vengono considerate isolatamente, ma sempre valutate nel contesto complessivo dell'indagine.

Perché LanCologne?

Sin dalla sua fondazione, LanCologne si occupa principalmente di informatica forense professionale. I nostri collaboratori vantano un’esperienza pluridecennale nel settore delle tecnologie dell’informazione e assistono aziende, avvocati, privati e, regolarmente, anche i tribunali nell’accertamento tecnico di complesse questioni digitali.

L'analisi dei file system NTFS viene effettuata esclusivamente su una copia forense o su un'immagine forense. Il materiale probatorio originale rimane intatto e viene conservato in modo da garantirne la validità probatoria.

I nostri servizi

Analizziamo, tra l’altro, la Master File Table (MFT), gli attributi dei file, i timestamp, le strutture delle directory, le voci cancellate, le associazioni dei file e altri metadati NTFS. L’obiettivo è la ricostruzione oggettiva dei processi tecnici sulla base di elementi tangibili e verificabili.

Campi di applicazione tipici

•Sospetto di cancellazione dei dati
•Furto di dati
•Accuse di manipolazione
•Ricostruzione dei movimenti dei file
•Analisi di supporti dati esterni
•Assistenza nei procedimenti giudiziari
•Perizie private e aziendali

Ecco come si svolge un’analisi forense del file system NTFS

Dopo la creazione di un’immagine forense, vengono analizzate le strutture NTFS rilevanti. Le informazioni ottenute vengono messe in relazione con altri elementi di Windows, quali il Registro di sistema, i registri degli eventi o le tracce USB. Solo una valutazione complessiva consente di giungere a conclusioni tecniche attendibili. Tutte le fasi dell’indagine vengono documentate in modo tracciabile.

Perché l'analisi NTFS è così importante?

Il file system NTFS contiene una grande quantità di metadati che vanno ben oltre l’insieme visibile dei file. Ciò consente spesso di individuare correlazioni tecniche che rimangono nascoste in un’analisi convenzionale. Un’analisi adeguata costituisce quindi una componente essenziale di quasi tutte le indagini forensi su Windows.

Domande frequenti

È ancora possibile recuperare un file cancellato?+
A seconda dei casi, i metadati NTFS possono fornire indicazioni sui file cancellati.
Viene sempre esaminato l'originale?+
No. Viene analizzata esclusivamente una copia forense o un'immagine forense.
L'MFT può provare da sola i fatti?+
No. L'MFT è un elemento importante, ma viene sempre valutato insieme ad altre prove.
Il file system NTFS è rilevante anche per i dischi rigidi esterni?+
Sì. Anche molti supporti di dati esterni utilizzano il file system NTFS.

LanCologne – Analisi forense di Windows a Colonia

Avete bisogno di un’analisi professionale di un sistema Windows o di un file system NTFS? LanCologne vi assiste nella raccolta di prove digitali a valore probatorio in sede giudiziaria e nell’analisi tracciabile degli artefatti rilevanti del file system.

Contattaci subito