Membership

New Technology File System (NTFS) Forensics (W40)

Investigate evidence stored in the New Technology File System. Explore NTFS structures and the forensic meaning of file-system artifacts.

Instructor · Divya Lakshmanan

Modules:
5
Lessons:
159

eForensics learning

Practical skills.
Verified progress.

What you'll learn

  • Examine the structure of NTFS.
  • Interpret hexadecimal file-system data.
  • Apply file-carving techniques to recovery and investigation.

Prerequisites

Basics of Digital Forensics: Forensic Imaging Hashing File Naming Conventions Equipment and software: Forensic Images of NT File system will be provided to you. A computer running Ubuntu 16 LTS is required to forensically analyse the file system images. If you wish to take your own forensic images, then a computer running Windows is also required. Good internet connection to download tools as we go.

Module 2

Module 1

  1. 1. (W00) Course Instructions

  2. 2. (W40M01) Module 1 Downloads

  3. 3. (W40M02) Course Introduction

  4. 4. (W40M03) Introduction to NTFS

  5. 5. (W40M04) A forensic approach to NTFS

  6. 6. (W40M05) $Boot file

  7. 7. (W40M06) $MFT file

  8. 8. (W40M07) $Volume file

  9. 9. (W40M09) Processing $Volume file

  10. 10. (W40M08) $AttrDef file

  11. 11. (W40M09) $Bitmap file

  12. 12. Practice: (W40Q01T01)

  13. 13. Practice: (W40Q01T02)

  14. 14. Practice: (W40Q01T03)

  15. 15. Practice: (W40Q01T04)

  16. 16. Practice: (W40Q01T05)

  17. 17. Practice: (W40Q01T06)

  18. 18. Practice: (W40Q01T07)

  19. 19. Practice: (W40Q01T09)

  20. 20. Practice: (W40Q01T10)

  21. 21. Practice: (W40Q01T11)

  22. 22. Practice: (W40Q01T12)

  23. 23. Practice: (W40Q01T13)

  24. 24. Practice: (W40Q01T14)

  25. 25. Practice: (W40Q01T15)

  26. 26. Practice: (W40Q01T16)

  27. 27. Practice: (W40Q01T19)

  28. 28. Practice: (W40Q01T20)

  29. 29. Practice: (W40T01Q21)

  30. 30. Practice: (W40T01Q22)

  31. 31. Practice: (W40T01Q24)

  32. 32. Practice: (W40T01Q25)

  33. 33. Practice: (W40T01Q26)

  34. 34. Practice: (W40T01Q27)

  35. 35. Practice: (W40T01Q28)

  36. 36. Practice: (W40T01Q30)

  37. 37. Practice: (W40T01Q31)

  38. 38. Practice: (W40T01Q32)

  39. 39. Practice: (W40T01Q33)

  40. 40. Practice: (W40T01Q36)

  41. 41. Practice: (W40T01Q37)

Assessments

Quiz Required

(W40Q01) Hello NTFS! - Assignment 1

Module 3

Module 2

  1. 1. (W40M10) Module 2 Downloads

  2. 2. (W40M11) Root System file

  3. 3. (W40M12) A quick recap

  4. 4. (W40M13) Resident file

  5. 5. (W40M14) Fun Fact - MFT Header

  6. 6. (W40M15) Non-Resident File

  7. 7. (W40M16) Directory

  8. 8. (W40M17) Let's hoist flags!

  9. 9. (W40M18) Behaviour on file/directory deletion

  10. 10. (W40M19) Behaviour of NT File System on Linux

  11. 11. Practice: (W40Q02T01)

  12. 12. Practice: (W40Q02T02)

  13. 13. Practice: (W40Q02T03)

  14. 14. Practice: (W40Q02T05)

  15. 15. Practice: (W40Q02T06)

  16. 16. Practice: (W40Q02T07)

  17. 17. Practice: (W40Q02T09)

  18. 18. Practice: (W40Q02T10)

  19. 19. Practice: (W40Q02T12)

  20. 20. Practice: (W40Q02T14)

  21. 21. Practice: (W40Q02T15)

  22. 22. Practice: (W40Q02T16)

  23. 23. Practice: (W40Q02T17)

  24. 24. Practice: (W40Q02T18)

  25. 25. Practice: (W40Q02T19)

  26. 26. Practice: (W40Q02T20)

  27. 27. Practice: (W40Q02T21)

  28. 28. Practice: (W40Q02T23)

  29. 29. Practice: (W40Q02T24)

  30. 30. Practice: (W40Q02T25)

  31. 31. Practice: (W40Q02T27)

  32. 32. Practice: (W40Q02T28)

  33. 33. Practice: (W40Q02T33)

  34. 34. Practice: (W40Q02T34)

Assessments

Quiz Required

(W40Q02) NTFS Surgery - Assignment 2

Module 4

Module 3

  1. 1. (W40M20) Module 3 Downloads

  2. 2. (W40M21) Introduction to fsutil

  3. 3. (W40M22) File System Journaling

  4. 4. (W40M23) Tunneling

  5. 5. (W40M24) Object Identifiers

  6. 6. (W40M25) Links

  7. 7. (W40M26) Compressed Files

  8. 8. Practice: (W40Q03T01)

  9. 9. Practice: (W40Q03T02)

  10. 10. Practice: (W40Q03T03)

  11. 11. Practice: (W40Q03T04)

  12. 12. Practice: (W40Q03T05)

  13. 13. Practice: (W40Q03T06)

  14. 14. Practice: (W40Q03T07)

  15. 15. Practice: (W40Q03T08)

  16. 16. Practice: (W40Q03T11)

  17. 17. Practice: (W40Q03T12)

  18. 18. Practice: (W40Q03T13)

  19. 19. Practice: (W40Q03T14)

  20. 20. Practice: (W40Q03T15)

  21. 21. Practice: (W40Q03T16)

  22. 22. Practice: (W40Q03T17)

  23. 23. Practice: (W40Q03T18)

  24. 24. Practice: (W40Q03T19)

  25. 25. Practice: (W40Q03T20)

  26. 26. Practice: (W40Q03T21)

  27. 27. Practice: (W40Q03T22)

  28. 28. Practice: (W40Q03T23)

  29. 29. Practice: (W40Q03T25)

  30. 30. Practice: (W40Q03T27)

  31. 31. Practice: (W40Q03T29)

  32. 32. Practice: (W40Q03T30)

  33. 33. Practice: (W40Q03T31)

  34. 34. Practice: (W40Q03T32)

  35. 35. Practice: (W40Q03T33)

  36. 36. Practice: (W40Q03T34)

  37. 37. Practice: (W40Q03T35)

  38. 38. Practice: (W40Q03T36)

  39. 39. Practice: (W40Q03T38)

  40. 40. Practice: (W40Q03T39)

Assessments

Quiz Required

(W40Q03) You seem special NTFS! - Assignment 3

Module 5

Module 4

  1. 1. (W40M00) Course publication schedule & announcements

  2. 2. (W40M27) Module 4 Downloads

  3. 3. (W40M28) File System Encryption

  4. 4. (W40M29) Access Control Lists

  5. 5. (W40M30) Alternate Data Streams

  6. 6. (W40M31) The Sleuth Kit against NTFS

  7. 7. (W40M32) How to 'approach' forensics of NTFS forensic image

  8. 8. (W40M33) Forensic Restoration

  9. 9. Practice: (W40Q04T01)

  10. 10. Practice: (W40Q04T02)

  11. 11. Practice: (W40Q04T03)

  12. 12. Practice: (W40Q04T04)

  13. 13. Practice: (W40Q04T05)

  14. 14. Practice: (W40Q04T06)

  15. 15. Practice: (W40Q04T07)

  16. 16. Practice: (W40Q04T09)

  17. 17. Practice: (W40Q04T10)

  18. 18. Practice: (W40Q04T11)

  19. 19. Practice: (W40Q04T12)

  20. 20. Practice: (W40Q04T14)

  21. 21. Practice: (W40Q04T15)

  22. 22. Practice: (W40Q04T17)

  23. 23. Practice: (W40Q04T20)

  24. 24. Practice: (W40Q04T21)

  25. 25. Practice: (W40Q04T22)

  26. 26. Practice: (W40Q04T24)

  27. 27. Practice: (W40Q04T25)

  28. 28. Practice: (W40Q04T26)

  29. 29. Practice: (W40Q04T27)

  30. 30. Practice: (W40Q04T28)

  31. 31. Practice: (W40Q04T30)

  32. 32. Practice: (W40Q04T33)

  33. 33. Practice: (W40Q04T34)

  34. 34. Practice: (W40Q04T35)

  35. 35. Practice: (W40Q04T36)

  36. 36. Practice: (W40Q04T37)

  37. 37. Practice: (W40Q04T38)

  38. 38. Practice: (W40Q04T39)

  39. 39. Practice: (W40Q04T40)

Assessments

Quiz Required

(W40Q04) I am NTFS and I know it! - Assignment 4

Module 6

Final Exam

Lessons will appear here after course content is added.

Assessments

Quiz Required

(W40Q05) Final Exam

Course access

Unlock New Technology File System (NTFS) Forensics (W40).

Enter your email. We’ll send a sign-in code here without taking you away from this course.