$LogFile-Parser-Vergleich: LogFileParser, NTFS Log Tracker
Sachlicher Vergleich von NTFS-$LogFile-Tools: LogFileParser, NTFS Log Tracker, TZWorks mala, dfir_ntfs, ntfstool, MFTECmd, Browser-Parser. Wann welches passt.
Blog
Leitfäden zur Forensik des NTFS-$LogFile: Aufbau, Sicherung, Timestomping, Spuren gelöschter Dateien, Fallbeispiele und ein Vergleich der Werkzeuge.
Wie weit reicht das $LogFile zurück? Grenzen und Fallstricke
Wie lange das NTFS-$LogFile reicht, und seine blinden Flecken: keine Uhr, fehlende Namen, nur Metadaten, von chkdsk oder ntfs-3g überschrieben, Parser uneins.
Eine $LogFile-Untersuchung Schritt für Schritt (fiktiv)
Ein fiktiver Einbruch auf FIN-WKS-07, ganz aus dem NTFS-$LogFile ermittelt: fremdes Konto, Toolkit, rückdatierte Binärdatei, rclone, gelöschte Notiz.
Restart Area und LSN im $LogFile erklärt
Ein Blick in die Restart-Seiten des NTFS-$LogFile: Felder der Restart Area, Client-Record von NTFS, Checkpoints – und wie aus einer LSN ein Datei-Offset wird.
$LogFile-Format 1.1 vs. 2.0: was sich mit Windows 8 ändert
NTFS-Logformat 1.1 und 2.0 im Vergleich: Tail Pages vs. 32 Fast Pages, Start des zirkulären Bereichs, warum Live-Sicherungen 2.0 zeigen, was Parser tun müssen.
Spuren gelöschter Dateien im $LogFile finden
Was das NTFS-$LogFile nach einer Löschung behält: Name, Ordner, MFT-Eintrag, Zeiten, Größen, Data Runs, teils Inhalt. Wie man es findet, was es nicht beweist.
Timestomping mit dem NTFS-$LogFile erkennen
Wie das $LogFile Timestomping sichtbar macht: $STANDARD_INFORMATION vorher/nachher, $SI-/$FN-Vergleich, vier Indizien, Fehlalarme und wie man Befunde bestätigt.
Redo- und Undo-Operationen im NTFS-$LogFile erklärt
Der NTFS-Log-Header Byte für Byte, die 38 Redo-/Undo-Opcodes, welche forensisch zählen und wie Anlegen, Löschen, Umbenennen und Zeitstempeländerungen aussehen.
Ein NTFS-$LogFile Schritt für Schritt analysieren
Praxisanleitung: $LogFile und $MFT in einen Browser-Parser laden, den Log-Header lesen, markierte Ereignisse sichten, Redo-/Undo-Bytes prüfen und exportieren.