NTFS
| Format | NTFS |
|---|---|
| Kurzname | NTFS |
| Kategorie | Dateisystem |
| Plattformen | Windows |
| Crush Unterstützung | Unterstützt (RawImageVFS) |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Das Dateisystem von Windows. Jede Datei und jedes Verzeichnis ist ein Eintrag in der Master File Table ($MFT) mit Attributen wie $STANDARD_INFORMATION und $FILE_NAME, die jeweils einen eigenen Satz von vier Zeitstempeln enthalten (100 ns seit 1601 UTC). Die Zeiten in $STANDARD_INFORMATION lassen sich über die API setzen, die in $FILE_NAME nicht ohne Weiteres; der Vergleich beider hilft daher, Timestomping zu erkennen. Kleine Dateien werden resident im MFT-Eintrag gespeichert, und Einträge gelöschter Dateien bleiben erhalten, bis sie wiederverwendet werden. Metadatendateien zeichnen die Historie auf, $LogFile (Transaktionslog) und $UsnJrnl:$J (Change Journal), neben $Secure (Security Descriptors) und $Bitmap (Cluster-Belegung). Alternate Data Streams (z. B. Zone.Identifier) und Volume Shadow Copies liegen auf demselben Volume.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 3 (0x3) | 4E 54 46 53 20 20 20 20 | NTFS | OEM-Identifier 'NTFS ' im Bootsektor |
Bekannte Dateiendungen
Nicht erfasst
Referenzen
- New Technologies File System (NTFS) — format documentation (libyal/libfsntfs) https://github.com/libyal/libfsntfs/blob/main/documentation/New%20Technologies%20File%20System%20(NTFS).asciidoc
- ForensicsWiki — New Technology File System (NTFS) https://forensics.wiki/new_technology_file_system_(ntfs)/
- abrignoni/qnxprobe — MBR/GPT, LVM2 and filesystem reader for raw images (QNX6/QNX4, ETFS, EFS, ext2/3/4, F2FS, FAT32/16/12, exFAT, NTFS, HFS+, APFS, QNX IFS, SquashFS, JFFS2, UBI/UBIFS, YAFFS) https://github.com/abrignoni/qnxprobe
Diesen Eintrag zitieren
Crush-Format-Referenz, „NTFS“. https://kalink0.github.io/crush-forensics/formats/de/ntfs/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden