IT-forensisch onderzoek – Windows

Forensische analyse van de Master File Table (MFT) – Het hart van het NTFS-bestandssysteem

De Master File Table (MFT) is een van de centrale structuren van het NTFS-bestandssysteem. Voor vrijwel elk bestand en elke map bestaat er een eigen MFT-vermelding, die talrijke metagegevens bevat. In het kader van professioneel Windows-forensisch onderzoek levert de MFT vaak waardevolle aanwijzingen op over het bestaan, de eigenschappen en de geschiedenis van bestanden.

Vrijblijvend informeren

De MFT dient echter niet als enig bewijs. Pas door deze gegevens samen met andere artefacten, zoals het USN-logboek, het Windows-register, gebeurtenislogboeken of LNK-bestanden, te analyseren, is een betrouwbare technische reconstructie van gebruikersactiviteiten mogelijk.

Waarom LanCologne?

Sinds de oprichting richt LanCologne zich voornamelijk op professionele IT-forensiek. Onze medewerkers beschikken over tientallen jaren ervaring op het gebied van informatietechnologie en ondersteunen bedrijven, advocaten, particulieren en regelmatig ook rechtbanken bij het technisch onderzoek naar complexe digitale kwesties.

Het onderzoek vindt in principe uitsluitend plaats op basis van een forensische kopie of een forensische afspiegeling. Het originele bewijsmateriaal blijft ongewijzigd en wordt op een bewijsveilige manier bewaard.

Onze diensten

We analyseren MFT-vermeldingen, bestandsattributen, tijdstempels, bestandsnamen, maptoewijzingen en andere NTFS-metadata. Het doel is de objectieve reconstructie van technische processen en de traceerbare documentatie van alle bevindingen in het kader van een IT-forensisch rapport.

Typische toepassingsgebieden

•Reconstructie van bestandsverplaatsingen
•Onderzoek naar verwijderde bestanden
•Diefstal van gegevens
•beschuldigingen van manipulatie
•Cyberaanvallen
•Arbeidsrechtelijke procedures
•Bewijsvoering in rechte

Zo verloopt een forensisch MFT-onderzoek

Nadat er een forensische kopie is gemaakt, worden de MFT-vermeldingen uitgelezen en geanalyseerd. Vervolgens wordt een verband gelegd met andere artefacten om technische samenhangen op een begrijpelijke manier weer te geven. Alle onderzoeksstappen worden volledig gedocumenteerd.

Waarom is de MFT zo belangrijk?

De MFT bevat uitgebreide informatie over bestanden en mappen en vormt daarmee een essentieel onderdeel van vrijwel elk forensisch onderzoek in Windows. De MFT maakt het vaak mogelijk om conclusies te trekken over bestandsbewerkingen, maar is nooit een vervanging voor de volledige analyse van alle relevante artefacten.

Veelgestelde vragen

Wat is de Master File Table?+
De MFT is de centrale bestandsbeheertabel van het NTFS-bestandssysteem.
Kan de MFT verwijderde bestanden opsporen?+
Afhankelijk van het specifieke geval kunnen MFT-vermeldingen aanwijzingen geven over verwijderde bestanden.
Wordt het origineel geanalyseerd?+
Nee. Er wordt uitsluitend een forensische kopie of een forensische afspiegeling geanalyseerd.
Is de MFT voldoende voor een rapport?+
Nee. Het wordt altijd samen met andere artefacten beoordeeld.

LanCologne – Windows-forensisch onderzoek in Keulen

Heeft u behoefte aan een professionele analyse van de Master File Table of van een Windows-systeem? LanCologne ondersteunt u bij het op een voor de rechter geldige wijze veiligstellen van digitaal bewijsmateriaal en bij de objectieve analyse van relevante NTFS-artefacten.

Nu contact opnemen