Utilization of NTFS metadata to facilitate digital forensics

Bc. Michal Masrna

Bakalářská práce

Anotace:

Táto práca popisuje metódy automatickej detekcie súborov súvisiacich s kyberbezpečnostným incidentom počas jeho vyšetrovania na základe metadát súborového systému. Táto práca sa zameriava na súborový systém NTFS na operačných systémoch Microsoft Windows 10 a 11. Práca opisuje vnútornú štruktúru NTFS a dokumentuje, ako Windows aktualizuje časové značky počas konkrétnych operácií so súbormi a adresármi. Riešenie navrhnuté v tejto práci je implementované ako súčasť aplikácie Fimetis. Celá aplikácia je sprístupnená pomocou systému CopAS.

Abstract:

This thesis introduces methods for automatically detecting files likely connected to a cybersecurity incident during its investigation based on file system metadata. This thesis focuses on the NTFS file system on Microsoft Windows 10 and 11 operating systems. It describes the internal structure of NTFS and documents how Windows handles timestamp updates during specific file and directory operations. The solution designed in this thesis is implemented as part of the Fimetis application. The entire application is made available through the CopAS framework.

Keywords

automatic detection, forensic analysis, metadata, timestamps, Windows 10, Windows 11, NTFS, file system, Fimetis, CopAS

Jazyk práce: angličtina

Datum vytvoření / odevzdání či podání práce: 18. 5. 2023

Obhajoba závěrečné práce

• Obhajoba proběhla 28. 6. 2023
• Vedoucí: RNDr. Daniel Kouřil, Ph.D.
• Oponent: RNDr. Tomáš Rebok, Ph.D.

Masarykova univerzita

Fakulta informatiky

Bakalářský studijní program / obor:
Informatika / Informatika