analyzing-slack-space-and-file-system-artifacts - 分析 NTFS 空闲空间与文件系统工件
检查 NTFS 空闲空间、MFT 条目、USN 日志记录和备用数据流，以恢复隐藏数据并重建文件活动。
标签
更新于: 2026-09-28能力
典型输入
典型输出
该技能可以做什么
- 提取 NTFS 系统工件
- 分析 MFT 条目
- 检测已删除文件
- 分析空闲空间
- 解析 USN 日志记录
- 检测备用数据流
- 雕刻嵌入文件
输入
- NTFS 取证磁盘映像
- NTFS 系统文件
- MFT 数据
- USN 更改日志
- 文件系统元数据
输出
- 提取的 MFT 文件
- 提取的 USN 日志
- 提取的事务日志
- 原始空闲空间文件
- MFT 分析 CSV 文件
- USN 日志 CSV 文件
- 空闲空间字符串报告
- 雕刻出的嵌入文件
- 备用数据流列表
要求
- NTFS 取证磁盘映像
- Sleuth Kit 工具
- MFTECmd
- MFTExplorer
- Python
- analyzeMFT 或 mft 库
- NTFS 结构知识