アンタイ・フォレンジック伝道者の独り言

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

スライド4

ファイル名:MACE.txt の $MFT レコードを 16進形式で表示しているところですが、UTF-16LE で 0xF2 の辺りからファイル名が記録されているのがわかるかと思います。このファイル名を記録している属性値($FILE_NAME)が持つタイムスタンプが少し上にあり、さらに上にあるのが$STANDARD_INFORMATION の値です。*1
ファイル名が一つだけであれば、通常は SI のタイムスタンプと、FN のタイムスタンプの二つが $MFT のレコードに保存されている形になります。

*1:データの最下部にある$STANDARD_INFORMATIONの文字列はファイルの中身です, 0D0Aの改行で終わってます