Analýza časových značek ve vybraných souborových systémech

Abstract

Počet kybernetických zločinů každoročně roste, a s tím stoupá i důležitost správné detekce manipulací s digitálními daty a rekonstrukce časových os. Tato bakalářská práce se zaměřuje na analýzu časových značek v nejpoužívanějších souborových systémech, přičemž praktická část se soustředí výhradně na systém NTFS. První polovina práce poskytuje přehled aktuálních souborových systémů, popisuje strukturu jejich metadat, chování časových značek a možnosti jejich podvržení včetně metod detekce těchto manipulací. Tato část představuje jeden z mála dostupných českých souhrnů relevantních informací na dané téma. Druhá, praktická část práce je věnována testování chování časových značek v NTFS. Zjištěné výsledky se částečně liší od závěrů předchozích studií, nicméně nedošlo k vyvracení dosavadních pravidel detekce podvržených časových značek. Autor práce zaznamenal výrazný osobní posun v porozumění metadatům různých souborových systémů - před zahájením výzkumu autor měl pouze základní povědomí o ukládání metadat v ext4. Výstupem práce je sada doporučení pro forenzní analytiky, která vychází z praktických experimentů, a zároveň shrnutí poznatků, které mohou posloužit jako základ pro tvorbu nových pravidel detekce manipulací s časovými značkami.

The number of cybercrimes continues to rise each year, increasing the importance of accurate detection of data manipulation and the reconstruction of timelines. This bachelor's thesis focuses on the analysis of timestamps in the most widely used file systems, with the practical part dedicated exclusively to NTFS. The first half of the thesis provides an overview of current file systems, describing the structure of their metadata, the behavior of their timestamps, and possible tampering methods, along with detection techniques. This section presents one of the few available Czech summaries of relevant information on the topic. The second, practical part is devoted to testing the behavior of timestamps in NTFS. The results partially differ from previous similar studies; however, they do not contradict the existing rules for detecting timestamp manipulation. The author experienced significant personal growth in understanding file system metadata initially having only a basic knowledge of how metadata is stored in ext4. The outcome of this work includes a set of recommendations for forensic analysts based on the conducted tests, as well as a summary of findings that may serve as a foundation for developing new rules for detecting timestamp tampering.