Exploitez les Shadow Copies (VSS) en forensic Windows : inventaire avec vssadmin, accès via mklink, extraction avec ShadowCopyView, avec un exemple concret.

Le post Forensic Windows – Partie 14 : explorer les Shadow Copies (VSS) a été publié sur IT-Connect.

Analysez les Jump Lists de Windows avec JLECmd pour retrouver les fichiers récemment ouverts par application, leurs horodatages et la machine d'origine.

Le post Forensic Windows – Partie 13 : analyser les Jump Lists a été publié sur IT-Connect.

Apprenez à exploiter le SRUM (base SRUDB.dat) de Windows : acquisition et analyse avec SrumECmd, applications exécutées, utilisateurs et activité réseau.

Le post Forensic Windows – Partie – 12 : analyse du SRUM a été publié sur IT-Connect.

Analysez la MFT du système de fichiers NTFS de Windows : extraction de $MFT avec KAPE, conversion en CSV avec MFTECmd et recherche de fichiers supprimés.

Le post Forensic Windows – Partie 11 : analyser la MFT avec KAPE et MFTECmd a été publié sur IT-Connect.

Apprenez à analyser le journal USN de NTFS pour retrouver les fichiers créés, renommés, déplacés ou supprimés, même s'ils n'existent plus sur le disque.

Le post Forensic Windows – Partie 10 : analyser le journal USN (NTFS) a été publié sur IT-Connect.

Découvrez comment RBCmd permet d’analyser la Corbeille Windows et d’obtenir des informations, comme le chemin, la taille et la date de suppression.

Le post Forensic Windows – Partie 9 : ce que peut révéler la Corbeille a été publié sur IT-Connect.