Module 1

Before the course

1. 1.(W36M00) Refresher - Imaging
2. 2.(W36M00) Refresher - Hashing
3. 3.(W36M00) Refresher - Naming convention
4. 4.(W40M00) Setting the tone for NTFS
5. 5.(W40M00) Q&A with the instructor

Module 2

Module 1

1. 1.(W00) Course Instructions
2. 2.(W40M01) Module 1 Downloads
3. 3.(W40M02) Course Introduction
4. 4.(W40M03) Introduction to NTFS
5. 5.(W40M04) A forensic approach to NTFS
6. 6.(W40M05) $Boot file
7. 7.(W40M06) $MFT file
8. 8.(W40M07) $Volume file
9. 9.(W40M09) Processing $Volume file
10. 10.(W40M08) $AttrDef file
11. 11.(W40M09) $Bitmap file
12. 12.Practice: (W40Q01T01)
13. 13.Practice: (W40Q01T02)
14. 14.Practice: (W40Q01T03)
15. 15.Practice: (W40Q01T04)
16. 16.Practice: (W40Q01T05)
17. 17.Practice: (W40Q01T06)
18. 18.Practice: (W40Q01T07)
19. 19.Practice: (W40Q01T09)
20. 20.Practice: (W40Q01T10)
21. 21.Practice: (W40Q01T11)
22. 22.Practice: (W40Q01T12)
23. 23.Practice: (W40Q01T13)
24. 24.Practice: (W40Q01T14)
25. 25.Practice: (W40Q01T15)
26. 26.Practice: (W40Q01T16)
27. 27.Practice: (W40Q01T19)
28. 28.Practice: (W40Q01T20)
29. 29.Practice: (W40T01Q21)
30. 30.Practice: (W40T01Q22)
31. 31.Practice: (W40T01Q24)
32. 32.Practice: (W40T01Q25)
33. 33.Practice: (W40T01Q26)
34. 34.Practice: (W40T01Q27)
35. 35.Practice: (W40T01Q28)
36. 36.Practice: (W40T01Q30)
37. 37.Practice: (W40T01Q31)
38. 38.Practice: (W40T01Q32)
39. 39.Practice: (W40T01Q33)
40. 40.Practice: (W40T01Q36)
41. 41.Practice: (W40T01Q37)

Module 3

Module 2

1. 1.(W40M10) Module 2 Downloads
2. 2.(W40M11) Root System file
3. 3.(W40M12) A quick recap
4. 4.(W40M13) Resident file
5. 5.(W40M14) Fun Fact - MFT Header
6. 6.(W40M15) Non-Resident File
7. 7.(W40M16) Directory
8. 8.(W40M17) Let's hoist flags!
9. 9.(W40M18) Behaviour on file/directory deletion
10. 10.(W40M19) Behaviour of NT File System on Linux
11. 11.Practice: (W40Q02T01)
12. 12.Practice: (W40Q02T02)
13. 13.Practice: (W40Q02T03)
14. 14.Practice: (W40Q02T05)
15. 15.Practice: (W40Q02T06)
16. 16.Practice: (W40Q02T07)
17. 17.Practice: (W40Q02T09)
18. 18.Practice: (W40Q02T10)
19. 19.Practice: (W40Q02T12)
20. 20.Practice: (W40Q02T14)
21. 21.Practice: (W40Q02T15)
22. 22.Practice: (W40Q02T16)
23. 23.Practice: (W40Q02T17)
24. 24.Practice: (W40Q02T18)
25. 25.Practice: (W40Q02T19)
26. 26.Practice: (W40Q02T20)
27. 27.Practice: (W40Q02T21)
28. 28.Practice: (W40Q02T23)
29. 29.Practice: (W40Q02T24)
30. 30.Practice: (W40Q02T25)
31. 31.Practice: (W40Q02T27)
32. 32.Practice: (W40Q02T28)
33. 33.Practice: (W40Q02T33)
34. 34.Practice: (W40Q02T34)

Module 4

Module 3

1. 1.(W40M20) Module 3 Downloads
2. 2.(W40M21) Introduction to fsutil
3. 3.(W40M22) File System Journaling
4. 4.(W40M23) Tunneling
5. 5.(W40M24) Object Identifiers
6. 6.(W40M25) Links
7. 7.(W40M26) Compressed Files
8. 8.Practice: (W40Q03T01)
9. 9.Practice: (W40Q03T02)
10. 10.Practice: (W40Q03T03)
11. 11.Practice: (W40Q03T04)
12. 12.Practice: (W40Q03T05)
13. 13.Practice: (W40Q03T06)
14. 14.Practice: (W40Q03T07)
15. 15.Practice: (W40Q03T08)
16. 16.Practice: (W40Q03T11)
17. 17.Practice: (W40Q03T12)
18. 18.Practice: (W40Q03T13)
19. 19.Practice: (W40Q03T14)
20. 20.Practice: (W40Q03T15)
21. 21.Practice: (W40Q03T16)
22. 22.Practice: (W40Q03T17)
23. 23.Practice: (W40Q03T18)
24. 24.Practice: (W40Q03T19)
25. 25.Practice: (W40Q03T20)
26. 26.Practice: (W40Q03T21)
27. 27.Practice: (W40Q03T22)
28. 28.Practice: (W40Q03T23)
29. 29.Practice: (W40Q03T25)
30. 30.Practice: (W40Q03T27)
31. 31.Practice: (W40Q03T29)
32. 32.Practice: (W40Q03T30)
33. 33.Practice: (W40Q03T31)
34. 34.Practice: (W40Q03T32)
35. 35.Practice: (W40Q03T33)
36. 36.Practice: (W40Q03T34)
37. 37.Practice: (W40Q03T35)
38. 38.Practice: (W40Q03T36)
39. 39.Practice: (W40Q03T38)
40. 40.Practice: (W40Q03T39)

Module 5

Module 4

1. 1.(W40M00) Course publication schedule & announcements
2. 2.(W40M27) Module 4 Downloads
3. 3.(W40M28) File System Encryption
4. 4.(W40M29) Access Control Lists
5. 5.(W40M30) Alternate Data Streams
6. 6.(W40M31) The Sleuth Kit against NTFS
7. 7.(W40M32) How to 'approach' forensics of NTFS forensic image
8. 8.(W40M33) Forensic Restoration
9. 9.Practice: (W40Q04T01)
10. 10.Practice: (W40Q04T02)
11. 11.Practice: (W40Q04T03)
12. 12.Practice: (W40Q04T04)
13. 13.Practice: (W40Q04T05)
14. 14.Practice: (W40Q04T06)
15. 15.Practice: (W40Q04T07)
16. 16.Practice: (W40Q04T09)
17. 17.Practice: (W40Q04T10)
18. 18.Practice: (W40Q04T11)
19. 19.Practice: (W40Q04T12)
20. 20.Practice: (W40Q04T14)
21. 21.Practice: (W40Q04T15)
22. 22.Practice: (W40Q04T17)
23. 23.Practice: (W40Q04T20)
24. 24.Practice: (W40Q04T21)
25. 25.Practice: (W40Q04T22)
26. 26.Practice: (W40Q04T24)
27. 27.Practice: (W40Q04T25)
28. 28.Practice: (W40Q04T26)
29. 29.Practice: (W40Q04T27)
30. 30.Practice: (W40Q04T28)
31. 31.Practice: (W40Q04T30)
32. 32.Practice: (W40Q04T33)
33. 33.Practice: (W40Q04T34)
34. 34.Practice: (W40Q04T35)
35. 35.Practice: (W40Q04T36)
36. 36.Practice: (W40Q04T37)
37. 37.Practice: (W40Q04T38)
38. 38.Practice: (W40Q04T39)
39. 39.Practice: (W40Q04T40)

Module 6

Final Exam