Ein Blick auf den Master-Boot-Record und die GUID-Partitionstabelle. Dieses Modul veranschaulicht den Unterschied zwischen dem Master-Boot-Record und der GUID-Partitionstabelle. Diese Informationen vermitteln dem Studenten ein Verständnis dafür, wo sich sowohl Partitionen als auch Daten auf dem Laufwerk befinden. Der Forensikstudent lernt, wie er den Master-Boot-Record interpretieren und den Volume-Boot-Record für jedes Volume auf dem Laufwerk finden kann.

Dieses Modul befasst sich mit der Struktur des FAT-Dateisystems. Dieses Modul behandelt die Struktur und das Layout des FAT-Dateisystems. Der Teilnehmer entwickelt ein Verständnis dafür, wie das FAT-Dateisystem eine Datei auf ein Laufwerk schreibt und eine Datei von einem Laufwerk löscht. Mit diesem Wissen kann der Prüfer gelöschte Daten wiederherstellen oder Daten von einem neu formatierten Laufwerk wiederherstellen.

In diesem Modul werden Sie die Details des NTSF-Dateisystems kennenlernen. NTSF ist eine entscheidende Komponente bei forensischen Untersuchungen. Dieses Modul erklärt, wie das Dateisystem Informationen organisiert und wo sich die Daten auf dem Laufwerk befinden. Außerdem wird erläutert, wo die Metadaten für die Datei gespeichert sind und welche Änderungen auf Dateisystemebene stattfinden, wenn jemand eine Datei löscht oder erstellt.

Werfen Sie einen genaueren Blick auf die Details des ex-FAT-Dateisystems. In diesem Modul lernen Sie die Struktur und das Layout des ex-FAT-Dateisystems kennen, wie das Dateisystem Dateien verfolgt, wo es die Dateimetadaten speichert und wie Sie gelöschte Daten wiederherstellen können.

Lernen Sie die Komplexität und die Herausforderungen der Windows-Registrierungsforensik kennen. Dieses Modul behandelt die Geschichte und Funktion der Registrierung. Sie erfahren, wie Sie die Live-Registrierung untersuchen, wo sich die Registrierungsdateien auf dem forensischen Image befinden und wie Sie Dateien extrahieren. Nach der Untersuchung der Dateien mit forensischen Werkzeugen können die Teilnehmer relevante Artefakte ausfindig machen, z. B. die Verbindungszeiten von USB-Geräten, zuletzt verwendete Dokumente, die letzten Ausführungszeiten von Programmen und Programme, die beim Start ausgeführt werden sollen.