Menu Close

Computer Forensik (Vorlesung 10)

In der heutigen Vorlesung wiederholen wir unserer gesammelten Erkentnisse zum FAT-Dateisystem und setzen diese in Bezug zum NTFS-Dateisystem.

Skript-AnfangKapitel 5 – Seite 1
Skript-EndeKapitel 5 – Seite 25

NTFS-Dateisystem

Welche Nachteile hat FAT?

  • Es gibt kein Journal für Änderungen am Dateisystem und Applikationen
  • Es gibt keine Dateien für Metadaten (Zeitstempel im einheitlichen Format, Besitzer, Berechtigung)
  • Es gibt keine vollständige Adressierung über Inode-Nummern
  • Unzeitgemäß limitierte Dateigrößen

Welche Vorteile hat NTFS?

  • Größere Datenstrukturen sind adressierbar
  • Dateien im TiB-Bereich (für Videos, dd-Images und truecrypt-Container)
  • In NTFS verwaltet die MFT alle Objekte des Dateisystems
  • Für jede Datei gibt es einen MFT-Eintrag
  • Alles ist über Cluster adressierbar
  • Der Bootsektor existiert ebenfalls als Datei

Wie ist NTFS geschützt?

  • Bei einem beschädigten Bootsektor kann NTFS nicht mehr booten
  • Es gibt deshalb je ein Backup vom Bootsektor und der MFT
  • Die Sicherungskopie des Bootsektors liegt am Ende der Partition

Wie groß sind MFT-Einträge?

  • Standardmäßig sind sie 1024 Byte groß

Wofür wird das Bitmap-Attribut genutzt?

This file lists which clusters are in use. Each bit in this file represents one LCN.http://0cch.net/ntfsdoc/files/bitmap.html

Was sind non resident-Attribute?

When all of the information for a file is too large to fit in the MFT file record, some of its attributes are nonresident. The nonresident attributes are allocated one or more clusters of disk space elsewhere in the volume.http://ntfs.com/ntfs-files-types.htm

Schreiben Sie einen Kommentar

Ihre E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

Diese Website verwendet Akismet, um Spam zu reduzieren. Erfahren Sie, wie Ihre Kommentardaten verarbeitet werden.