Сформулюйте модель аналізу часових міток NTFS для перевірки гіпотези, що файл був скопійований на диск, а не створений на ньому.

Question

Answer

Перевірка прапорця стану MFT-запису: якщо значення дорівнює 0x01, це вказує на локальне створення файлу

Answer

Порівняння міток: якщо час створення (Birth) є пізнішим за час модифікації (Modified), файл було скопійовано

Answer

Аналіз метафайлу $Bitmap: наявність вільних кластерів навколо файлу підтверджує його імпорт із зовнішнього носія

Answer

Зіставлення розміру файлового слаку з розміром кластера: великий слак вказує на безпосереднє копіювання

Crowdly