代替データストリームを検出するには？

NTFS 代替データストリームは OS 標準のコマンドやツールでは検出することができません。そこで、インターネット上から入手可能なツールを利用する必要があります。
代替データストリームの存在を検出することができるツールには以下があります。

lfnutils (Long File Name Utilities) ※お奨め※
http://www.monyo.com/technical/products/lfnutils/

LADS
http://www.heysoft.de/Frames/f_sw_la_en.htm

Streams
http://www.sysinternals.com/utilities/streams.html

Crucial ADS
http://www.crucialsecurity.com/products/index.html

NTFS ADS Check
http://www.diamondcs.com.au/index.php?page=archive&id=ntfs-streams

ここで紹介したツールの一部は、非常に長いファイル名に対応できないものがあります。個人的には lfnutils に含まれる streamls.exe の使用をお奨めします。
The SleuthKit や EnCase、FTK のようなコンピュータ・フォレンジックツールを利用すれば簡単に確認することができます。

なお、NTFS 代替データストリームの追加/変更/削除を常時監視する場合には、Tripwire for Servers を利用することができます。

Tripwire for Servers
http://www.tripwire.co.jp/products/servers/index.html