Informática forense – Windows

Análise forense da Tabela de Ficheiros Principal (MFT) – O coração do sistema de ficheiros NTFS

A Master File Table (MFT) é uma das estruturas centrais do sistema de ficheiros NTFS. Para praticamente todos os ficheiros e diretórios existe uma entrada específica na MFT, que contém inúmeros metadados. No âmbito de uma análise forense profissional do Windows, a MFT fornece frequentemente pistas valiosas sobre a existência, as características e o histórico dos ficheiros.

Pedido de informação sem compromisso

No entanto, o MFT não constitui prova por si só. Só a análise conjunta com outros elementos, como o USN Journal, o Registo do Windows, os registos de eventos ou os ficheiros LNK, permite uma reconstrução técnica fiável das atividades do utilizador.

Porquê o LanCologne?

Desde a sua fundação, a LanCologne dedica-se principalmente à informática forense profissional. Os nossos colaboradores possuem décadas de experiência na área das tecnologias da informação e prestam apoio a empresas, advogados, particulares e, regularmente, também a tribunais, na investigação técnica de casos digitais complexos.

A análise é, em princípio, realizada exclusivamente numa cópia forense ou numa imagem forense. A prova original permanece inalterada e é guardada de forma a garantir a sua integridade probatória.

Os nossos serviços

Analisamos registos MFT, atributos de ficheiros, carimbos de data/hora, nomes de ficheiros, atribuições de diretórios e outros metadados NTFS. O objetivo é a reconstrução objetiva dos processos técnicos, bem como a documentação compreensível de todas as conclusões no âmbito de um relatório pericial forense de TI.

Áreas de aplicação típicas

•Reconstrução dos movimentos dos ficheiros
•Análise de ficheiros apagados
•Roubo de dados
•Acusações de manipulação
•Ataques cibernéticos
•Processos em matéria de direito do trabalho
•Apresentação de provas em tribunal

É assim que decorre uma investigação forense de MFT

Após a criação de uma cópia forense, os registos MFT são lidos e analisados. Segue-se a correlação com outros artefactos, a fim de apresentar as relações técnicas de forma compreensível. Todas as etapas da investigação são integralmente documentadas.

Por que razão a MFT é tão importante?

A MFT contém informações abrangentes sobre ficheiros e diretórios, constituindo, assim, uma parte essencial de praticamente qualquer investigação forense do Windows. Permite, frequentemente, tirar conclusões sobre operações com ficheiros, mas nunca substitui a análise global de todos os artefactos relevantes.

Perguntas frequentes

O que é a Tabela de Ficheiros Mestres?+
A MFT é a tabela central de gestão de ficheiros do sistema de ficheiros NTFS.
A MFT consegue identificar ficheiros apagados?+
Dependendo de cada caso específico, os registos MFT podem fornecer pistas sobre ficheiros eliminados.
O original é analisado?+
Não. A análise é efetuada exclusivamente sobre uma cópia forense ou uma imagem forense.
A MFT é suficiente para um parecer?+
Não. É sempre avaliada em conjunto com outros artefactos.

LanCologne – Análise forense do Windows em Colónia

Precisa de uma análise profissional da Master File Table ou de um sistema Windows? A LanCologne presta-lhe apoio na recolha de provas digitais com validade judicial, bem como na avaliação objetiva de artefactos NTFS relevantes.

Entre em contacto connosco agora