Чому форензисти обов'язково зіставляють мітки часу в атрибутах $STANDARD_INFORMATION та $FILE_NAME в MFT NTFS?

Question

Answer

Атрибут $FILE_NAME містить зашифровані копії міток, які записуються за допомогою технології BitLocker

Answer

Співставлення дозволяє розрахувати точний розмір файлового слаку для нерезидентних атрибутів файлу

Answer

Атрибут $STANDARD_INFORMATION оновлюється лише при завантаженні комп'ютера, а $FILE_NAME — щосекунди

Answer

Тимчасові мітки в $STANDARD_INFORMATION легко підробити, тоді як мітки в $FILE_NAME контролює лише ядро

Crowdly