Como Windows domina el parque de equipos, domina también los casos forenses. El sistema deja artefactos por todas partes; dos de los más ricos son la MFT y el registro.
La MFT (Master File Table)
En el sistema de archivos NTFS, la MFT es el índice central: un registro de cada archivo del disco con su nombre, tamaño y marcas de tiempo. Analizarla permite ver archivos que existieron (incluso borrados) y reconstruir cuándo se crearon y modificaron.
El registro de Windows
El registro es la base de datos central de configuración del sistema. Además de ajustes, guarda rastros de uso muy valiosos para el forense.
| En el registro queda… | Qué cuenta |
|---|---|
| Dispositivos USB | Qué se conectó y cuándo |
| Programas ejecutados | Qué corrió en el equipo |
| Redes Wi-Fi | A qué redes se conectó |
| Configuración por usuario | Preferencias y actividad |
Otros artefactos de Windows
- Prefetch: qué programas se ejecutaron y cuántas veces.
- Event Logs: inicios de sesión, servicios, errores.
- Jump Lists / Recent: archivos abiertos recientemente.
- Papelera y shadow copies (copias anteriores de archivos).
Con tantas fechas y eventos provenientes de tantas fuentes, hace falta ordenarlos en una sola secuencia. Cómo construir esa línea de tiempo (y recuperar archivos por carving) es el próximo tema.