Domaine 05
Les métadonnées du système de fichiers disent quand les choses se sont produites, à condition de savoir les lire. Ce domaine explique les horodatages d'inode et leurs règles de mise à jour, la date de création sur ext4 et XFS, la détection du timestomping et ce qui est récupérable après suppression.
Artefacts clés
Ces guides sont pour l'instant publiés en anglais uniquement. Les liens ci-dessous ouvrent la version anglaise.
How to read MAC and birth timestamps on ext4 and XFS, spot timestomping through ctime, and understand the real limits of deleted file recovery on Linux.
Emplacement de chaque artefact, ce qu'il prouve, ses horodatages et les outils pour l'analyser.