Forensicist

ADS(Alternate Data Stream)はNTFSに搭載されている仕様(機能)です。元々はMac OSの一般的なファイルシステムであるHFSとの互換性のために実装されました。

Mac OSでは対象をリソースとデータの2パートにわけて格納しており、データが実際に格納されている場所で、リソースがデータをどのように使うかOSに伝えるために使われます。Windowsでは拡張子がこのリソースに似た役割を担っています。そのため、WindowsがMac OSとの互換を維持するためにADSを使ってリソースと扱います。

しかし、ADSはファイルの様々な属性の格納や隠し領域として使われてもいるため、調査対象がNTFSであった場合は確認すべき事項となってきます。ADSはWindowsの標準コマンド、ツールでは確認できません。

検出可能なツールはいくつか公開されています。最も有名で実績のあるツールが以下のLADSです。

LADS - List Alternate Data Streams
http://www.heysoft.de/Frames/f_sw_la_en.htm