Contrairement à ses prédécesseurs comme FAT16 ou FAT32, NTFS est un système de fichiers moderne possédant de nombreuses fonctionnalités de sécurité et de résilience. Cet article se propose d'en décrire l'une d'entre elles : le journal des changements, apparu avec Windows 2000. L'activation par défaut de cette fonctionnalité depuis Windows Vista est passée relativement inaperçue dans le monde du forensics, mais il s'agit pourtant d'une petite révolution.
1. Introduction
1.1. Contexte
Une mission forensics a généralement pour objectif de décrire avec le plus de détails possible les événements liés à un incident de sécurité. Elle comporte plusieurs étapes, dont la copie du ou des supports, la récupération de fichiers effacés ou la recherche de mots-clés, mais la principale d'entre elles est sans aucun doute l'établissement et l'interprétation d'une chronologie des événements (timeline).
Sous Windows, des dates plus ou moins précises sont fournies par de nombreux composants du système :
- les dates des journaux d'événements ;
- les horodatages (timestamps) gérés par le système de fichiers (dates de création, de modification, etc.) ;
- la date de dernière modification de chaque clé de registre ;
- les dates issues de divers artefacts comme l'historique de navigation web ou de messagerie instantanée, les méta-données de documents bureautiques, etc.
L'ensemble de ces événements...
- Accédez à tous les contenus de Connect en illimité
- Découvrez des listes de lecture et des contenus Premium
- Consultez les nouveaux articles en avant-première