IT-forensik – Windows

Forensisk analys av Master File Table (MFT) – hjärtat i NTFS-filsystemet

Master File Table (MFT) är en av de centrala strukturerna i NTFS-filsystemet. För nästan varje fil och varje katalog finns en egen MFT-post som innehåller omfattande metadata. Inom ramen för professionell Windows-forensik ger MFT ofta värdefulla ledtrådar om filers existens, egenskaper och historik.

Begär en icke-bindande offert

MFT fungerar dock inte som enda bevis. Det är först genom en samlad utvärdering tillsammans med andra artefakter, såsom USN-loggen, Windows-registret, händelseloggar eller LNK-filer, som det blir möjligt att göra en tillförlitlig teknisk rekonstruktion av användaraktiviteterna.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har årtionden av erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar med teknisk utredning av komplexa digitala ärenden.

Undersökningen utförs i princip uteslutande på en forensisk kopia eller en forensisk avbildning. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett sätt som säkerställer bevisvärdet.

Våra tjänster

Vi analyserar MFT-poster, filattribut, tidsstämplar, filnamn, katalogtillhörigheter och andra NTFS-metadata. Syftet är att objektivt rekonstruera tekniska processer samt att på ett överskådligt sätt dokumentera alla iakttagelser inom ramen för en IT-forensisk utredning.

Typiska användningsområden

•Rekonstruktion av filförflyttningar
•Undersökning av raderade filer
•Datastöld
•Anklagelser om manipulation
•Cyberattacker
•Förfaranden enligt arbetsrätten
•Bevisföring i domstol

Så här går en MFT-forensisk undersökning till

Efter att en forensisk avbildning har skapats läses MFT-posterna ut och analyseras. Därefter görs en korrelation med ytterligare artefakter för att på ett begripligt sätt redovisa tekniska samband. Samtliga steg i utredningen dokumenteras fullständigt.

Varför är MFT så viktigt?

MFT innehåller omfattande information om filer och kataloger och utgör därmed en väsentlig del av nästan varje forensisk undersökning av Windows. Den gör det ofta möjligt att dra slutsatser om filåtgärder, men ersätter aldrig en fullständig utvärdering av alla relevanta artefakter.

Vanliga frågor

Vad är Master File Table?+
MFT är den centrala filhanteringstabellen i NTFS-filsystemet.
Kan MFT påvisa raderade filer?+
Beroende på det enskilda fallet kan MFT-poster ge ledtrådar till raderade filer.
Kommer originalet att analyseras?+
Nej. Det är uteslutande en forensisk kopia eller en forensisk avbildning som analyseras.
Räcker MFT för ett utlåtande?+
Nej. Den bedöms alltid tillsammans med andra föremål.

LanCologne – Windows-forensik i Köln

Behöver ni en professionell analys av Master File Table eller ett Windows-system? LanCologne hjälper er med att säkerhetskopiera digitala bevis på ett sätt som håller i domstol samt med en objektiv utvärdering av relevanta NTFS-artefakter.

Kontakta oss nu