MFT — Master File Table (NTFS)

Qu'est-ce que la MFT

La Master File Table est la base de données centrale de NTFS : une entrée par fichier/dossier avec ses attributs, dont les horodatages $STANDARD_INFORMATION et $FILE_NAME. Pierre angulaire de l'analyse de timeline Windows.

Extraction et parsing

# Extraire la $MFT (ex: avec FTK/icat)
icat -o 2048 disk.dd 0 > MFT.raw

# Parser avec MFTECmd (Eric Zimmerman)
MFTECmd.exe -f $MFT --csv out/

# analyzeMFT
analyzeMFT.py -f $MFT -o mft.csv

Détection d'anti-forensic

Comparer les timestamps $SI et $FN : une divergence (notamment $SI antérieur à $FN) révèle un timestomping. Les entrées résidentes contiennent aussi de petits fichiers entièrement dans la MFT.