Jump 'n Dump

  Le système Linux supporte les formats de fichier ext2, ext3 et ext4. Nous nous intéresserons ici uniquement aux format ext3 et ext4, plus fréquemment utilisés de nos jours. Ext3 Ce format de fichier est apparût en 2001. Il possède certaines caractéristiques dont : un système de journalisation (suivi des modifications) pouvant intégrer les métadonnées et son contenu ou uniquement les métadonnées selon le mode choisi une taille maximale de fichier de 16Go à 2To un maximum de 32 000 sous-répertoires une taille de partition de 2To à 32 To 3 temps de fichiers : MAC Ext4 Ce format de fichier est apparût en 2008. Il possède certaines caractéristiques dont : un système de journalisation que l'on peut désactiver et possédant une somme de contrôle une taille maximale de fichier de 16Go à 16To un maximum de 64 000 sous répertoire une taille de partition aximale de 1024 Po 4 temps de fichiers : MACB une rétrocompatibilité avec les fichiers ext3 l'allocation multibloc etc...

  Dans le système NTFS, les fichiers possèdent plusieurs type de timestamp : M odified A ccessed C hanged (modification de l'entrée $MFT) B irth Il existe deux type de mactime : $STANDARD_INFO - modifiable par les processus user $FILENAME - modifiable uniquement par les processus kernel  Il existe donc au total, sur un système NTFS 8 mactime différents. Les valeurs des temps sont amenées à changer en fonction de l'action effectuée sur un fichier. Crédit : SANS Timestomp Certains attaquants peuvent couvrir leurs traces en modifiant le timestamp de certains fichiers en l'antidatant. De cette manière, certains fichiers peuvent échapper à la vigilance des investigateurs en forensic. Etant donnée que l'altération de la date est effectuée sur la mactime $STANDARD_INFO, le timestamp dans $FILENAME se retrouve donc avec une date ultérieure. C'est ainsi que certains outils, comme analyzeMFT.py ,  permettent de détecter si le timestamp d'un fichier a été altéré.

La base de registre Windows est une immense base de données contenant les fichiers de configuration nécessaires au système, au matériel, aux applications et aux utilisateurs. A l’origine, Windows stockait ces informations dans les fichiers system.ini et win.ini (du temps de Windows 3.1… ). Ces deux fichiers ont ensuite été remplacés par user.dat et system.dat (on trouve même sur Windows Me le fichier classes.dat) pour les systèmes Windows 95/98. Mais depuis, les fichiers sont stockés dans %SYSTEMROOT%\System32\Config sous la forme de ruches ou root keys. Les ruches (root keys) 5 ruches (ou root keys ) principales : HKEY_CLASSES_ROOT HKEY_CURRENT_USER HKEY_LOCAL_MACHINE HKEY_USERS HKEY_CURRENT_CONFIG HKEY_CLASSES_ROOT   Cette ruche contient les données concernant les logiciels tel que les extensions, les CLSID, les extensions... Elle est en réalité un pointeur vers la HKEY_LOCAL_MACHINE\Software\Classes , afin d'en faciliter l'accès pour les développeurs. HKEY_CURRENT_USER ...

  NTFS est un format de fichier Windows apparu avec Windows XP. Il est toujours possible d'utiliser le système FAT32 bien sûre, mais NTFS offre plusieurs nouvelles fonctionnalités et pas des moindres. NTFS permet d'avoir des fichiers beaucoup plus volumineux et des mécanismes de sécurité ont vu le jour. Généralité La taille des fichiers Premièrement, la taille des fichiers maximale avec NTFS est de 16To (256To pour les partitions) contre 4Go au format FAT32 (2To pour les partitions). Mécanismes de sécurité Il est maintenant possible d'attribuer des droits d'accès sur les fichiers, comme sur un système UNIX, avantage non négligeable d'un point de vue sécurité.   Crédit : pcastuces.com Par ailleurs, le format NTFS permet la restauration de fichiers grâce à la redondance de sa MFT et du secteur de boot, détaillés par la suite. Les fonctionnalités apportées par NTFS Les flux (datastream) L'une des particularité du format NTFS est qu'un fichier à la possibilit...