ADS
Alternative Datenströme (NTFS)
Alternate Data Streams
Alternate Data Streams sind eine Eigenheit des NTFS-Dateisystems: An eine Datei lassen sich zusätzliche, unsichtbare Datenströme anhängen, die im normalen Verzeichnis nicht erscheinen. Was als legitimes Feature gedacht ist, wird gern zum Verstecken von Daten oder Schadcode missbraucht. Für die Forensik sind ADS ein bekanntes Versteck.
Historie & Fakten. NTFS erlaubt es, neben dem eigentlichen Inhalt einer Datei weitere benannte Datenströme zu speichern; im Datei-Explorer und bei einer einfachen Größenanzeige bleiben diese unsichtbar. Legitim wird das etwa für Metadaten genutzt (zum Beispiel die Markierung aus dem Internet heruntergeladener Dateien). Angreifer können darin jedoch Daten oder ausführbaren Code verstecken, der bei oberflächlicher Betrachtung übersehen wird — eine antiforensische Technik.
Ausblick & Empfehlung. Für die forensische Untersuchung gilt: ADS werden nur erfasst, wenn mit Werkzeugen gearbeitet wird, die sie ausdrücklich auslesen; eine bloße Dateikopie kann sie verlieren. Auf der Verteidigungsseite hilft das Bewusstsein, dass die angezeigte Dateigröße nicht alles ist. Versteckte Datenströme sind ein klassisches Beispiel dafür, dass legitime Systemfunktionen zweckentfremdet werden — und dafür, warum forensische Sorgfalt über die sichtbare Oberfläche hinausgehen muss.