Analizadores de $LogFile: LogFileParser, NTFS Log Tracker
Comparativa de herramientas para el $LogFile de NTFS: LogFileParser, NTFS Log Tracker, mala, dfir_ntfs, ntfstool, MFTECmd y un parser web. Cuándo usar cada una.
Artículos etiquetados: #ntfs
¿Hasta dónde llega el $LogFile? Límites y trampas
Retención real del $LogFile de NTFS y sus otros puntos ciegos: sin reloj, sin nombres, solo metadatos, reescrito por chkdsk o ntfs-3g, parsers discrepantes.
Investigación con el $LogFile paso a paso (caso ficticio)
Una intrusión ficticia en FIN-WKS-07 resuelta con el $LogFile de NTFS: cuenta falsa, herramientas, binario antedatado, rclone, una nota borrada y el informe.
$LogFile: el área de reinicio y los LSN, explicados
En las páginas de reinicio del $LogFile de NTFS: campos del área de reinicio, registro de cliente NTFS, checkpoints y cómo pasar un LSN a un desplazamiento.
$LogFile 1.1 frente a 2.0: qué cambió en Windows 8
Formatos 1.1 y 2.0 del diario NTFS: páginas de cola frente a 32 páginas rápidas, inicio del área circular, capturas en vivo y qué debe hacer un parser.
$LogFile: recuperar evidencias de archivos borrados
Qué conserva el $LogFile de NTFS tras un borrado: nombre, carpeta, entrada MFT, fechas, tamaños, data runs y a veces contenido. Cómo hallarlo y sus límites.
Detectar timestomping con el $LogFile de NTFS
Cómo delata el $LogFile el timestomping: valores de $STANDARD_INFORMATION antes y después, $SI frente a $FN, cuatro indicios, falsos positivos y cómo confirmar.
Las operaciones redo/undo del $LogFile de NTFS, explicadas
La cabecera de un registro del diario NTFS byte a byte, los 38 opcodes redo/undo, cuáles importan en forense y cómo se ven creación, borrado y renombrado.
Cómo analizar un $LogFile de NTFS paso a paso
Un recorrido práctico: cargar $LogFile y $MFT en un analizador web, leer la cabecera, priorizar eventos marcados, revisar los bytes redo/undo y exportar.
Cómo adquirir el $LogFile de NTFS (en vivo y en frío)
Copiar el $LogFile bloqueado de NTFS y su $MFT: comandos de KAPE, Velociraptor, FTK Imager, RawCopy, icat y ntfscat, y comprobaciones de que la copia sirve.
$LogFile, $UsnJrnl o $MFT: qué artefacto NTFS y cuándo
$LogFile, $UsnJrnl:$J y $MFT comparados desde el diario de transacciones: qué registra cada uno, cuánto abarca, qué solo prueba el $LogFile y cómo cruzarlos.
Análisis forense del $LogFile de NTFS: la guía completa
Qué registra el $LogFile de NTFS, cómo funcionan sus páginas y registros redo/undo, qué demuestra en una investigación, cómo adquirirlo y dónde se queda corto.