Tabla maestra de archivos y registro de cambios

2 tareas · 40 min · Principiante

0 de 2 · 0%

El sistema de archivos NTFS mantiene la Master File Table ($MFT), donde cada registro contiene atributos $STANDARD_INFORMATION (modificables por herramientas de usuario) y $FILE_NAME (actualizados por el kernel, resistentes a timestomping). Paralelamente, el diario de números de secuencia de actualización ($UsnJrnl) documenta las operaciones atómicas sobre archivos (creación, cambio de nombre, eliminación) permitiendo detectar técnicas de borrado rápido de trazas.

Responde para continuar

¿Qué artefacto del sistema NTFS documenta secuencias de creación y eliminación de archivos incluso cuando el archivo ya fue borrado?

El archivo bootmgr del arranque UEFI La memoria de solo lectura BIOS de la placa madre El diario USN Journal ($UsnJrnl) El archivo de configuración de red hosts

Ver pista de ayuda

El USN Journal almacena el historial cronológico de operaciones sobre el sistema de archivos.

Consulta en la tabla timeline_gap el nombre del archivo temporal eliminado según la entrada de USNJRNL.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué archivo figura borrado en la descripción del evento de USNJRNL?

Ver pista de ayuda

Observa el nombre de archivo en la columna description de la segunda fila.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Análisis Forense de Windows · Prefetch, Amcache & MFT

Forensic Artifact Analysis Engine (EZTools Output Parser)

Tablas

prefetch_runs

file_name
run_count
last_run_time
volume_path
source_hash

amcache_entries

sha1_hash
file_path
compile_time
pe_file_size
signer_name

timeline_gap

event_id
timestamp_utc
artifact_type
description
anomaly_flag

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 $MFT y el diario USN Journal ($UsnJrnl:$J)

2 Archivo eliminado según el diario de cambios Lab

Whoami-Labs Pro utiliza cookies