Informatica forense – Windows

Analisi forense della Master File Table (MFT) – Il cuore del file system NTFS

La Master File Table (MFT) è una delle strutture fondamentali del file system NTFS. Per quasi ogni file e ogni directory esiste una propria voce MFT, che contiene numerosi metadati. Nell’ambito di un’analisi forense professionale di Windows, la MFT fornisce spesso indicazioni preziose sull’esistenza, le proprietà e la cronologia dei file.

Richiesta non vincolante

L'MFT, tuttavia, non costituisce una prova a sé stante. Solo l'analisi congiunta con altri elementi, quali il registro USN, il Registro di sistema di Windows, i registri degli eventi o i file LNK, consente una ricostruzione tecnica attendibile delle attività degli utenti.

Perché LanCologne?

Sin dalla sua fondazione, LanCologne si occupa principalmente di informatica forense professionale. I nostri collaboratori vantano un’esperienza pluridecennale nel settore delle tecnologie dell’informazione e assistono aziende, avvocati, privati e, regolarmente, anche i tribunali nell’accertamento tecnico di complesse questioni digitali.

L'analisi viene effettuata esclusivamente su una copia forense o su un'immagine forense. Il materiale probatorio originale rimane inalterato e viene conservato in modo da garantirne l'integrità probatoria.

I nostri servizi

Analizziamo le voci MFT, gli attributi dei file, i timestamp, i nomi dei file, le associazioni delle directory e altri metadati NTFS. L'obiettivo è la ricostruzione oggettiva dei processi tecnici e la documentazione tracciabile di tutte le constatazioni nell'ambito di una perizia informatica forense.

Campi di applicazione tipici

•Ricostruzione dei movimenti dei file
•Analisi dei file cancellati
•Furto di dati
•Accuse di manipolazione
•Attacchi informatici
•Procedimenti in materia di diritto del lavoro
•Prova in sede giudiziaria

Ecco come si svolge un’analisi forense MFT

Dopo aver creato un'immagine forense, le voci MFT vengono estratte e analizzate. Successivamente si procede alla correlazione con altri elementi, al fine di illustrare in modo comprensibile le relazioni tecniche. Tutte le fasi dell'indagine vengono documentate in modo completo.

Perché la MFT è così importante?

L'MFT contiene informazioni dettagliate su file e directory e costituisce quindi una componente essenziale di quasi tutte le indagini forensi su Windows. Spesso consente di trarre conclusioni sulle operazioni sui file, ma non sostituisce mai l'analisi complessiva di tutti gli artefatti rilevanti.

Domande frequenti

Che cos’è la Master File Table?+
La MFT è la tabella centrale di gestione dei file del file system NTFS.
L'MFT è in grado di individuare i file cancellati?+
A seconda dei singoli casi, le voci MFT possono fornire indicazioni sui file cancellati.
L'originale viene analizzato?+
No. Viene analizzata esclusivamente una copia forense o un'immagine forense.
L'MFT è sufficiente per una perizia?+
No. Viene sempre valutata insieme ad altri reperti.

LanCologne – Analisi forense di Windows a Colonia

Avete bisogno di un’analisi professionale della Master File Table o di un sistema Windows? LanCologne vi assiste nel recupero di prove digitali a valore probatorio in sede giudiziaria e nella valutazione obiettiva degli artefatti NTFS rilevanti.

Contattaci subito