¿Cómo puedo deshabilitar temporalmente los enlaces de las carpetas como Usuarios / Todos los usuarios para realizar un análisis forense?

1

Estoy haciendo un análisis forense de un disco duro que he grabado en una imagen de dd. La imagen es un sistema de archivos NTFS que instalo en mi sistema Windows con FTK Imager en modo de solo lectura.

Luego, busco un archivo en el disco montado, pero en la búsqueda aparecen archivos dentro de los directorios de mi sistema. En la unidad montada D: hay enlaces a mi unidad C: por ejemplo, en D: \ Usuarios \ ¡Todos los usuarios aparecen también a mis usuarios!

¿Cómo puedo desactivar temporalmente estos enlaces para realizar el análisis forense del sistema de archivos NTFS?

    
pregunta kinunt 16.06.2014 - 12:50
fuente

1 respuesta

1

Naturalmente, Windows intenta deferir los puntos de unión de NTFS, al igual que Linux elimina automáticamente las referencias a puntos de montaje y enlaces simbólicos. No puede sortear esto directamente en el sistema operativo Windows, ya que Windows necesita puntos de unión para funcionar correctamente, excepto posiblemente al usar un shell alternativo en el Modo seguro, aunque esto probablemente tenga algunos efectos secundarios interesantes cuando esté conectado. La única forma de "deshabilitar" una unión NTFS es eliminarla por completo, no es algo que pueda hacer en modo de solo lectura.

Sin embargo, lo que puede hacer no es usar Windows directamente. Por ejemplo, inicie su sistema en Linux, posiblemente utilizando una memoria USB barata y una Linux-on-a-stick, y puede montar la imagen directamente en Linux, y realizar todas las operaciones de búsqueda que desee sin tener que preocuparse de que se aleje en su disco duro, ya que su unidad no se montará, y Linux no tiene noción de letras de unidad de todos modos. Su millaje puede variar aquí, ya que el soporte NTFS, aunque es bastante excelente, no es tan bueno como el soporte NTFS de Windows. Personalmente, yo tan pronto sacaría una copia de la versión USB de Ubuntu, la arrancaría, montaría la imagen y exploraría.

Otra excelente alternativa sería simplemente montar la unidad en una máquina virtual que ejecuta Windows. Probablemente califiques para el modo Windows XP si estás usando casi cualquier versión moderna de Windows. Instale, monte la unidad y examine al contenido de su corazón. Ya que está en una máquina virtual, cualquier daño causado a la unidad solo dañará a la máquina virtual, y no a su computadora. Puede volver a instalarlo tantas veces como sea necesario y, siempre que haya hecho una copia de seguridad de la imagen del disco duro, puede "volver a formatear" la imagen con la frecuencia que desee. En ese momento, podría experimentar imprudentemente eliminando esos puntos de unión, asignando una nueva letra a su unidad de arranque, etc.

    
respondido por el phyrfox 17.06.2014 - 06:57
fuente

Lea otras preguntas en las etiquetas