Eine $LogFile-Untersuchung Schritt für Schritt (fiktiv)
Ein fiktiver Einbruch auf FIN-WKS-07, ganz aus dem NTFS-$LogFile ermittelt: fremdes Konto, Toolkit, rückdatierte Binärdatei, rclone, gelöschte Notiz.
Beiträge mit Tag: #timestomping
Timestomping mit dem NTFS-$LogFile erkennen
Wie das $LogFile Timestomping sichtbar macht: $STANDARD_INFORMATION vorher/nachher, $SI-/$FN-Vergleich, vier Indizien, Fehlalarme und wie man Befunde bestätigt.