| 할당됨(Allocated) |
아티팩트에 따르면 레코드/개체가 현재 사용 중인 상태. |
| 대체 데이터 스트림(ADS) |
파일의 일반적인 이름 없는 내용 외에 파일에 연결된 이름 있는 NTFS 데이터(예: Zone.Identifier). |
| 아티팩트(Artifact) |
운영 체제/애플리케이션이 생성하는 지속적인 데이터로, 포렌식 질문에 답할 수 있는 것. |
| 카빙(Carving) |
일반적인 컨테이너/인덱스에 의존하지 않고 구조/서명으로 레코드를 찾는 것. |
| 제어 집합(Control set) |
SYSTEM 구성의 한 버전(ControlSet001 등). Select\Current가 활성 제어 집합을 지정합니다. |
| 보강 증거(Corroboration) |
같은 결론을 뒷받침하는 독립적인 증거. |
| 더티 데이터베이스/하이브 |
수집 시점에 기본 파일이 완전히 동기화되지 않은 상태. 필요한 상태가 트랜잭션 로그에 있을 수 있습니다. |
| Droid |
파일/볼륨의 이동을 추적하는 데 사용되는 GUID 형태의 분산 링크 추적 식별자. |
| ESE / JET Blue |
SRUM 및 기타 Windows 데이터에서 사용하는 Microsoft의 Extensible Storage Engine 데이터베이스 형식. |
| FILETIME |
1601-01-01 UTC 이후 100나노초 간격의 수. 숫자는 스키마가 시간이라고 정의할 때만 시간으로서 의미가 있습니다. |
| 파일 참조(File reference) |
MFT 레코드의 세대를 식별하는 NTFS 엔트리 번호와 시퀀스 번호. |
| 하이브(Hive) |
Windows 레지스트리 트리를 담은 바이너리 파일. |
| INDX 레코드 |
디렉터리의 파일을 나열하는 NTFS 디렉터리 인덱스($I30)의 블록(보통 4 KiB). 그 슬랙에는 삭제되거나 이름이 변경된 파일 이름의 증거가 남아 있을 수 있습니다. |
| LNK |
대상과 풍부한 메타데이터를 담은 Windows Shell Link/바로 가기. |
| MRU |
최근 사용(Most Recently Used) 순서. 대개 각 항목의 시간이 아니라 상대적인 순서입니다. |
| MFT |
파일/디렉터리 레코드와 속성을 담은 NTFS 마스터 파일 테이블. |
| Prefetch 해시 |
.pf 이름에 사용되는 Windows 식별자. 암호학적 콘텐츠 해시가 아닙니다. |
| 레지스트리 키 마지막 쓰기 |
키가 변경된 시간. Windows는 일반적으로 어떤 값이 변경되었는지 알려 주지 않습니다. |
| 상주 데이터(Resident data) |
외부 데이터 런이 아니라 MFT 속성에 직접 저장된 파일/스트림 바이트. |
| RID |
상대 식별자. Windows SID 기관/도메인 아래에서 계정/그룹을 나타내는 마지막 구성 요소. |
| SDDL |
보안 설명자 정의 언어(Security Descriptor Definition Language). 텍스트로 작성된 보안 설명자(예: O:S-1-5-18D:(A;;0x001f01ff;;;S-1-5-32-544)). |
| 보안 설명자(Security descriptor) |
파일의 소유자, 기본 그룹, DACL(누가 무엇을 할 수 있는지), SACL(감사 및 무결성 레이블). NTFS는 서로 다른 각 보안 설명자를 보안 ID 아래에 $Secure:$SDS에 한 번씩 보관합니다. |
| SID |
계정, 서비스, 그룹 또는 보안 주체에 대한 Windows 보안 식별자. |
| 슬랙(Slack) |
할당된 구조의 내부/뒤에 있는 사용되지 않는 바이트로, 이전 데이터가 남아 있을 수 있습니다. |
| SRUM |
애플리케이션/사용자의 리소스 사용량을 담은 시스템 리소스 사용 모니터 데이터베이스. |
| 타임스톰핑(Timestomping) |
조사를 오도하기 위한 의도적인 타임스탬프 변조. 휴리스틱은 증거가 아닙니다. |
| 트랜잭션 로그 |
레지스트리나 데이터베이스를 일관된 상태로 복구하는 데 사용되는 보류 중/커밋된 변경 사항. |
| USN |
NTFS 변경 저널 레코드와 관련 메타데이터에서 사용하는 업데이트 시퀀스 번호(Update Sequence Number). |
| UTC |
협정 세계시. 여러 시스템에 걸친 타임라인에 권장되는 공통 시간 기준. |
| 볼륨 일련 번호 |
볼륨을 포맷할 때 NTFS가 부여하는 번호($Boot). 그 하위 32비트가 LNK, Jump List, Prefetch 파일이 파일의 볼륨에 대해 기록하는 값입니다. |