Partisi yang diformat dengan NTFS

• Volume

• Block

• Directory

• Storage

Unit data yang dikenal pada teknologi storage

• Bit

• Cluster

• Byte

• Sector

Yang terjadi pada saat sebuah objek dihapus pada NTFS, KECUALI

• Entry sequence bertambah 1

• Diberi flag deleted pada MFT

• Cluster ditandai dengan FileFree

• Karakter pertama pada entry directory berubah menjadi 0XE5

Karakteristik NTFS

• Hanya file yang dicatat pada tabel file

• Menggunakan inode sebagai untuk mengidentifikasi file

• Setiap transaksi file tercatat (journaling)

• Dapt menggunakan satu file tabel untuk beberapa volume

Sebuah file dengan entry sequence 0x87-0x01, apabila dihapus maka entry sequencesnya akan menjadi...

• 0x88-0x01

• 0x87-1x01

• 0x88-0x02

• 0x87-0x02

File $MFT juga memiliki record entry di dalam $MFT

• Benar

• Salah

Aksi Clear File Explorer history akan berdampak pada hal-hal berikut,KECUALI

• Item-item yang terdapat pada directory recent item akan terhapus

• Record pada HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\..\RecentDocs akan terhapus

• Penggunaan tool RecentFileView tidak menghasilkan record dokumen yang diakses oleh user

• Item-tem pada HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\..\File MRU akan terhapus

Untuk mengetahui kapan sebuah volume diformat dengan NTFS

• Dengan perintah systeminfo

• Gunakan WinAuditu

• $MFT created date

• system.ini created date

Entry kedua dalam $MFT

• $MFTMirr

• $LogFile

• $MFT

• $Boot

Koversi D5 11 ke bilangan decimal dengan little endian

• 4565

• 4656

• 5454

• 54545