Sur NTFS, supprimer n'est pas effacer. Quand un fichier est supprimé, le système d'exploitation bascule un seul bit dans l'enregistrement MFT du fichier — le drapeau en cours d'utilisation dans l'en-tête — et met à jour l'index du dossier parent. Le reste de l'enregistrement reste exactement tel quel.
Ce qui est toujours là
Un enregistrement MFT supprimé conserve généralement :
$STANDARD_INFORMATION— les quatre horodatages, les drapeaux et l'identifiant de sécurité$FILE_NAME— le nom de fichier original, la référence au dossier parent, les tailles logique et physique$DATA— pour les petits fichiers, l'intégralité du contenu (résident) ; pour les grands, le runlist pointant vers des clusters qui ne sont peut-être pas encore écrasés
On peut lister les fichiers supprimés par numéro d'enregistrement et reconstituer la quasi-totalité de l'identité d'un fichier supprimé à partir du seul $MFT.
Quand disparaît-il vraiment ?
Un enregistrement supprimé persiste jusqu'à ce que NTFS ait besoin de l'emplacement pour un nouveau fichier. Lors de la création suivante, le système peut réutiliser le plus ancien emplacement libre. Sur un volume actif, les enregistrements supprimés sont récupérés en quelques heures. Sur un système peu sollicité, ils peuvent survivre plusieurs mois.
Le MFT lui-même ne fait que croître ; il ne rétrécit jamais. C'est ce qui en fait un artefact forensique aussi riche.
Croiser pour une vision complète
$MFT montre quels enregistrements existent. $UsnJrnl (le journal des numéros de séquence de mise à jour) montre ce qui leur est arrivé — y compris les événements de suppression qui ont basculé le drapeau « en cours d'utilisation ». $LogFile ajoute encore une couche d'historique transactionnel.
Un triage qui parcourt les trois ensemble peut souvent reconstruire non seulement ce qui a été supprimé, mais quand et dans quel ordre. Le parseur de ce site lit $MFT. Les deux autres journaux sont d'excellentes cibles de suivi.