[X-Ways Forensics] 18 인덱스 슬랙(Index Slack)까지 확인하기

[X-Ways Forensics] 18 인덱스 슬랙(Index Slack)까지  확인하기

 

c.f) NTFS의 인덱스 구조는 B Tree임

빠르게 검색이 필요한 데이터는 인덱스 구조로 관리함

(디렉토리의 MFT Entry, Non-Resident 인덱스 노드 등)

 

 

X-ways에서 인덱스 슬랙까지 확인하는 방법

(파일시스템에 대한 지식이 충분하면, 당연히 수동으로 확인하면 제일 좋음)

 

// 옵션 'Particularly thorough file system data structure search'

(EnCase의 'Lost Folders'와 유사함)

 

// List earlier names/paths

(NTFS 인덱스 슬랙의 정보까지 모아서 목록화해줌)

 

인덱스 슬랙 포렌식을 통한 삭제된 파일 정보 확인

(참고: http://koreascience.kr/article/JAKO201520448048465.pdf)