NTFS — Forensic du système de fichiers Windows

Structures clés

NTFS repose sur la $MFT, les flux de données alternatifs (ADS), le journal $LogFile et $UsnJrnl (changements de fichiers). Ces métadonnées sont une mine d'or pour reconstituer l'activité.

Flux ADS (Alternate Data Streams)

# Lister les ADS (cachette classique de malware)
dir /R
Get-Item fichier.txt -Stream *

# Lire un flux caché
Get-Content fichier.txt -Stream hidden

Journaux NTFS

# $UsnJrnl : historique des modifications de fichiers
MFTECmd.exe -f $J --csv out/

# $LogFile : transactions (LogFileParser)
# Utile pour prouver création/suppression/renommage