En una investigación forense digital sobre Windows, los atacantes experimentados borran registros de eventos, modifican marcas de tiempo y eliminan sus herramientas antes de exfiltrar datos. Sin embargo, NTFS conserva un rastro de auditoría distribuido en al menos tres estructuras independientes: la Master File Table ($MFT), el USN Journal y el $LogFile. Limpiar una sola de esas estructuras rara vez altera las demás, lo que deja al analista con vías de reconstrucción si sabe correlacionarlas.
Este artículo explica, de forma práctica, qué contiene cada artefacto, cómo extraerlo y dónde se cruzan sus evidencias. La $MFT almacena, en cada entrada de 1024 bytes, dos conjuntos de marcas de tiempo: las MACB en el atributo $STANDARD_INFORMATION, modificables con APIs como SetFileTime, y las del atributo $FILE_NAME, escritas por el núcleo y solo alterables bajo circunstancias limitadas. La divergencia entre ambos conjuntos es el indicador más fiable de timestomping, porque una $SI anterior a $FN es incompatible con el funcionamiento normal del sistema.
El USN Journal registra secuencialmente cada cambio del sistema de archivos desde Windows 2000: creación, renombrado, borrado, cambios de atributos o descriptores de seguridad. Sobre un volumen activo conserva unos 20 días de actividad y sobrevive al borrado de archivos, lo que permite detectar patrones como los renombrados múltiples que aplica SDelete antes de eliminar un binario. Para extraer el flujo $J se recomienda MFTECmd, cruzándolo después con la $MFT mediante Timeline Explorer.
La biblioteca dfir_ntfs, escrita en Python por Maxim Suhanov, ofrece un acceso programático a las estructuras internas de NTFS, incluyendo $LogFile y Volume Shadow Copies. Combinada con MFTECmd, permite correlacionar las tres capas de artefactos y construir una línea temporal robusta frente a manipulaciones.