NTFS Forense

¿Qué es NTFS?

NTFS (New Technology File System) es el sistema de archivos estándar de Windows desde Windows NT. Ofrece características avanzadas como journaling, permisos ACL, compresión, y cifrado (EFS), lo que lo hace rico en artefactos forenses.

Estructuras Clave de NTFS

Archivos de Metadatos del Sistema

Master File Table ($MFT)

La MFT es la estructura más importante de NTFS. Contiene un registro por cada archivo y directorio:

Registro MFT (1024 bytes típico):
├── $STANDARD_INFORMATION (0x10)
│   └── Timestamps MACB, permisos
├── $FILE_NAME (0x30)
│   └── Nombre, timestamps MACB adicionales
├── $DATA (0x80)
│   └── Contenido del archivo (o puntero a clusters)
└── Otros atributos...

Timestamps MACB

NTFS almacena 4 timestamps por archivo, duplicados en dos atributos:

$STANDARD_INFORMATION

$FILE_NAME

Contiene otro set de timestamps MACB, menos frecuentemente actualizado. Las discrepancias entre ambos sets pueden indicar manipulación (timestomping).

Recuperación de Archivos Borrados

Por Qué Funciona la Recuperación

Cuando se borra un archivo en NTFS:

1. El registro MFT se marca como “disponible” (flag 0x00 en lugar de 0x01)
2. Los clusters se marcan como libres en $Bitmap
3. Los datos NO se sobrescriben inmediatamente
4. Solo cuando se necesita espacio, los clusters se reutilizan

Artefactos Forenses de NTFS

$UsnJrnl (Change Journal)

El Update Sequence Number Journal registra:

• Creación, modificación, eliminación de archivos
• Renombrados y movimientos
• Cambios de atributos

Record:
  USN: 12345678
  Timestamp: 2026-01-18 10:32:15
  Reason: FILE_CREATE
  Filename: documento.docx
  ParentRef: 0x0000000000000005

Alternate Data Streams (ADS)

NTFS permite almacenar múltiples flujos de datos en un archivo:

archivo.txt:datos_ocultos

Usos forenses:

• Malware oculta código en ADS
• Zone.Identifier marca archivos descargados de Internet
• Metadatos de aplicaciones

$I30 (Índices de Directorio)

Los índices de directorio pueden contener referencias a archivos borrados que ya no aparecen en el MFT.

Herramientas de Análisis

Ejemplo con MFTECmd

# Parsear MFT a CSV
MFTECmd.exe -f "C:\$MFT" --csv "C:\output" --csvf mft_parsed.csv

# Incluir archivos borrados
# El output incluye flag "In Use" = FALSE para borrados

Caso Práctico: Investigación de Fuga de Datos

Escenario

Un empleado sospechoso de robar documentos confidenciales antes de renunciar.

Análisis NTFS

1. Análisis del $UsnJrnl

2026-01-15 23:45 - FILE_CREATE - "Clientes_2026.xlsx"
2026-01-15 23:46 - FILE_CREATE - "Clientes_2026.zip"
2026-01-15 23:48 - FILE_DELETE - "Clientes_2026.xlsx"
2026-01-15 23:48 - FILE_DELETE - "Clientes_2026.zip"

2. Verificación de timestamps

• El documento fue creado (copiado) a las 23:45
• Comprimido en ZIP inmediatamente
• Ambos borrados minutos después
• Hora fuera del horario laboral normal

3. Recuperación

• Registro MFT del ZIP encontrado (marcado como borrado)
• Clusters aún no sobrescritos
• Archivo ZIP recuperado con éxito
• Contenido: listado completo de clientes

4. ADS Zone.Identifier

[ZoneTransfer]
ZoneId=3
HostUrl=about:internet

El archivo fue descargado de algún lugar (red/navegador).

Conclusión del Caso

El empleado copió el archivo de clientes, lo comprimió (probablemente para enviar), y luego borró ambos. El análisis NTFS permitió recuperar la evidencia y reconstruir el timeline exacto.

Limitaciones

Conclusión

El análisis forense de NTFS es fundamental para cualquier investigación en entornos Windows. La riqueza de metadatos del $MFT, el journaling del $LogFile y $UsnJrnl, y los Alternate Data Streams proporcionan múltiples fuentes de evidencia. Un perito con conocimiento profundo de NTFS puede recuperar archivos borrados, detectar manipulación de timestamps, y reconstruir la actividad del sistema de archivos con precisión temporal.

Última actualización: 18 de enero de 2026 Categoría: Forense Digital Código: NTF-001