Course outline(W40M32) How to 'approach' forensics of NTFS forensic image

Your course

New Technology File System (NTFS) Forensics (W40)

Module 1

Before the course

  1. 1.(W36M00) Refresher - Imaging
  2. 2.(W36M00) Refresher - Hashing
  3. 3.(W36M00) Refresher - Naming convention
  4. 4.(W40M00) Setting the tone for NTFS
  5. 5.(W40M00) Q&A with the instructor

Module 2

Module 1

  1. 1.(W00) Course Instructions
  2. 2.(W40M01) Module 1 Downloads
  3. 3.(W40M02) Course Introduction
  4. 4.(W40M03) Introduction to NTFS
  5. 5.(W40M04) A forensic approach to NTFS
  6. 6.(W40M05) $Boot file
  7. 7.(W40M06) $MFT file
  8. 8.(W40M07) $Volume file
  9. 9.(W40M09) Processing $Volume file
  10. 10.(W40M08) $AttrDef file
  11. 11.(W40M09) $Bitmap file
  12. 12.Practice: (W40Q01T01)
  13. 13.Practice: (W40Q01T02)
  14. 14.Practice: (W40Q01T03)
  15. 15.Practice: (W40Q01T04)
  16. 16.Practice: (W40Q01T05)
  17. 17.Practice: (W40Q01T06)
  18. 18.Practice: (W40Q01T07)
  19. 19.Practice: (W40Q01T09)
  20. 20.Practice: (W40Q01T10)
  21. 21.Practice: (W40Q01T11)
  22. 22.Practice: (W40Q01T12)
  23. 23.Practice: (W40Q01T13)
  24. 24.Practice: (W40Q01T14)
  25. 25.Practice: (W40Q01T15)
  26. 26.Practice: (W40Q01T16)
  27. 27.Practice: (W40Q01T19)
  28. 28.Practice: (W40Q01T20)
  29. 29.Practice: (W40T01Q21)
  30. 30.Practice: (W40T01Q22)
  31. 31.Practice: (W40T01Q24)
  32. 32.Practice: (W40T01Q25)
  33. 33.Practice: (W40T01Q26)
  34. 34.Practice: (W40T01Q27)
  35. 35.Practice: (W40T01Q28)
  36. 36.Practice: (W40T01Q30)
  37. 37.Practice: (W40T01Q31)
  38. 38.Practice: (W40T01Q32)
  39. 39.Practice: (W40T01Q33)
  40. 40.Practice: (W40T01Q36)
  41. 41.Practice: (W40T01Q37)

Module 3

Module 2

  1. 1.(W40M10) Module 2 Downloads
  2. 2.(W40M11) Root System file
  3. 3.(W40M12) A quick recap
  4. 4.(W40M13) Resident file
  5. 5.(W40M14) Fun Fact - MFT Header
  6. 6.(W40M15) Non-Resident File
  7. 7.(W40M16) Directory
  8. 8.(W40M17) Let's hoist flags!
  9. 9.(W40M18) Behaviour on file/directory deletion
  10. 10.(W40M19) Behaviour of NT File System on Linux
  11. 11.Practice: (W40Q02T01)
  12. 12.Practice: (W40Q02T02)
  13. 13.Practice: (W40Q02T03)
  14. 14.Practice: (W40Q02T05)
  15. 15.Practice: (W40Q02T06)
  16. 16.Practice: (W40Q02T07)
  17. 17.Practice: (W40Q02T09)
  18. 18.Practice: (W40Q02T10)
  19. 19.Practice: (W40Q02T12)
  20. 20.Practice: (W40Q02T14)
  21. 21.Practice: (W40Q02T15)
  22. 22.Practice: (W40Q02T16)
  23. 23.Practice: (W40Q02T17)
  24. 24.Practice: (W40Q02T18)
  25. 25.Practice: (W40Q02T19)
  26. 26.Practice: (W40Q02T20)
  27. 27.Practice: (W40Q02T21)
  28. 28.Practice: (W40Q02T23)
  29. 29.Practice: (W40Q02T24)
  30. 30.Practice: (W40Q02T25)
  31. 31.Practice: (W40Q02T27)
  32. 32.Practice: (W40Q02T28)
  33. 33.Practice: (W40Q02T33)
  34. 34.Practice: (W40Q02T34)

Module 4

Module 3

  1. 1.(W40M20) Module 3 Downloads
  2. 2.(W40M21) Introduction to fsutil
  3. 3.(W40M22) File System Journaling
  4. 4.(W40M23) Tunneling
  5. 5.(W40M24) Object Identifiers
  6. 6.(W40M25) Links
  7. 7.(W40M26) Compressed Files
  8. 8.Practice: (W40Q03T01)
  9. 9.Practice: (W40Q03T02)
  10. 10.Practice: (W40Q03T03)
  11. 11.Practice: (W40Q03T04)
  12. 12.Practice: (W40Q03T05)
  13. 13.Practice: (W40Q03T06)
  14. 14.Practice: (W40Q03T07)
  15. 15.Practice: (W40Q03T08)
  16. 16.Practice: (W40Q03T11)
  17. 17.Practice: (W40Q03T12)
  18. 18.Practice: (W40Q03T13)
  19. 19.Practice: (W40Q03T14)
  20. 20.Practice: (W40Q03T15)
  21. 21.Practice: (W40Q03T16)
  22. 22.Practice: (W40Q03T17)
  23. 23.Practice: (W40Q03T18)
  24. 24.Practice: (W40Q03T19)
  25. 25.Practice: (W40Q03T20)
  26. 26.Practice: (W40Q03T21)
  27. 27.Practice: (W40Q03T22)
  28. 28.Practice: (W40Q03T23)
  29. 29.Practice: (W40Q03T25)
  30. 30.Practice: (W40Q03T27)
  31. 31.Practice: (W40Q03T29)
  32. 32.Practice: (W40Q03T30)
  33. 33.Practice: (W40Q03T31)
  34. 34.Practice: (W40Q03T32)
  35. 35.Practice: (W40Q03T33)
  36. 36.Practice: (W40Q03T34)
  37. 37.Practice: (W40Q03T35)
  38. 38.Practice: (W40Q03T36)
  39. 39.Practice: (W40Q03T38)
  40. 40.Practice: (W40Q03T39)

Module 5

Module 4

  1. 1.(W40M00) Course publication schedule & announcements
  2. 2.(W40M27) Module 4 Downloads
  3. 3.(W40M28) File System Encryption
  4. 4.(W40M29) Access Control Lists
  5. 5.(W40M30) Alternate Data Streams
  6. 6.(W40M31) The Sleuth Kit against NTFS
  7. 7.(W40M32) How to 'approach' forensics of NTFS forensic image
  8. 8.(W40M33) Forensic Restoration
  9. 9.Practice: (W40Q04T01)
  10. 10.Practice: (W40Q04T02)
  11. 11.Practice: (W40Q04T03)
  12. 12.Practice: (W40Q04T04)
  13. 13.Practice: (W40Q04T05)
  14. 14.Practice: (W40Q04T06)
  15. 15.Practice: (W40Q04T07)
  16. 16.Practice: (W40Q04T09)
  17. 17.Practice: (W40Q04T10)
  18. 18.Practice: (W40Q04T11)
  19. 19.Practice: (W40Q04T12)
  20. 20.Practice: (W40Q04T14)
  21. 21.Practice: (W40Q04T15)
  22. 22.Practice: (W40Q04T17)
  23. 23.Practice: (W40Q04T20)
  24. 24.Practice: (W40Q04T21)
  25. 25.Practice: (W40Q04T22)
  26. 26.Practice: (W40Q04T24)
  27. 27.Practice: (W40Q04T25)
  28. 28.Practice: (W40Q04T26)
  29. 29.Practice: (W40Q04T27)
  30. 30.Practice: (W40Q04T28)
  31. 31.Practice: (W40Q04T30)
  32. 32.Practice: (W40Q04T33)
  33. 33.Practice: (W40Q04T34)
  34. 34.Practice: (W40Q04T35)
  35. 35.Practice: (W40Q04T36)
  36. 36.Practice: (W40Q04T37)
  37. 37.Practice: (W40Q04T38)
  38. 38.Practice: (W40Q04T39)
  39. 39.Practice: (W40Q04T40)

Module 6

Final Exam

Course overview
Module 5Lesson 7

(W40M32) How to 'approach' forensics of NTFS forensic image

Lesson videoLocked

Member lesson

Unlock the full lesson

Sign in to watch and unlock the course materials.