| 割り当て済み |
アーティファクトによると、レコード/オブジェクトは現在使用中です。 |
| 代替データ ストリーム (ADS) |
通常の名前のないコンテンツ (Zone.Identifier など) に加えて、ファイルに添付された名前付き NTFS データ。 |
| アーティファクト |
オペレーティング システム/アプリケーションによって生成され、フォレンジックの質問に答えることができる永続データ。 |
| 彫刻 |
通常のコンテナ/インデックスに依存せずに、構造/署名によってレコードを検索します。 |
| コントロールセット |
SYSTEM 構成のバージョン (ControlSet001 など)。 Select\Current はアクティブなものに名前を付けます。 |
| 裏付け |
同じ結論を裏付ける独立した証拠。 |
| ダーティなデータベース/ハイブ |
プライマリ ファイルは収集時に完全に同期されていませんでした。トランザクション ログには必要な状態が保持される場合があります。 |
| ドロイド |
移動間でファイル/ボリュームを追跡するために使用される、GUID のような分散リンク追跡識別子。 |
| ESE / JET ブルー |
Microsoft の Extensible Storage Engine データベース形式。SRUM およびその他の Windows データで使用されます。 |
| FILETIME |
1601-01-01 UTC 以降の 100 ナノ秒間隔の数。数値が時間として意味を持つのは、そのスキーマがそう規定している場合のみです。 |
| ファイルリファレンス |
NTFS エントリ番号と、MFT レコードの世代を識別するシーケンス番号。 |
| ハイブ |
Windows レジストリ ツリーを含むバイナリ ファイル。 |
| INDX レコード |
ディレクトリのファイルをリストする NTFS ディレクトリ インデックス ($I30) のブロック (通常は 4 KiB)。そのスラックは、ファイル名が削除されたり名前が変更された可能性のある証拠を保持することができます。 |
| LNK |
Windows ターゲットと広範なメタデータを含むシェル リンク/ショートカット。 |
| MRU |
最近使用した順序。通常、各項目の時間ではなく、相対的な順序になります。 |
| MFT |
NTFS ファイル/ディレクトリのレコードと属性を含むマスター ファイル テーブル。 |
| Prefetchハッシュ |
Windows で使用される識別子 .pf ネーミング;暗号化コンテンツのハッシュではありません。 |
| レジストリ キーの最終書き込み |
キーが変更された時刻。 Windows は通常、どの値が変更されたかを示しません。 |
| 居住者データ |
外部データ実行ではなく、MFT 属性に直接保存されたファイル/ストリーム バイト。 |
| RID |
相対識別子。Windows SID 権限/ドメインの下にある最後のアカウント/グループ コンポーネント。 |
| SDDL |
セキュリティ記述子定義言語: O:S-1-5-18D:(A;;0x001f01ff;;;S-1-5-32-544) など、テキストとして記述されたセキュリティ記述子。 |
| セキュリティ記述子 |
ファイルの所有者、プライマリ グループ、DACL (誰が何を実行できるか)、および SACL (監査および整合性ラベル)。 NTFS は、セキュリティ ID の下で、個別のそれぞれを $Secure:$SDS に一度保持します。 |
| SID |
Windows アカウント、サービス、グループ、またはセキュリティ プリンシパルのセキュリティ識別子。 |
| たるみ |
古いデータを保持できる、割り当てられた構造内または後の未使用バイト。 |
| SRUM |
システム リソースの使用状況 アプリケーション/ユーザー リソースの使用状況をデータベースで監視します。 |
| タイムストンピング |
調査を誤解させるための意図的なタイムスタンプの変更。ヒューリスティックは証拠ではありません。 |
| トランザクションログ |
レジストリまたはデータベースを一貫した状態に回復するために使用される保留中/コミット済みの変更。 |
| USN |
NTFS 変更ジャーナル レコードおよび関連メタデータで使用される更新シーケンス番号。 |
| UTC |
協定世界時;クロスシステムタイムラインの優先共通時間基準。 |
| ボリュームシリアル番号 |
番号 NTFS は、ボリュームがフォーマットされるときに与えられます ($Boot)。その下位 32 ビットは、LNK、ジャンプ リスト、および Prefetch ファイルがファイルのボリュームを記録するものです。 |