MFTECmd – Dateisystem-Zeitleiste

Was ist MFTECmd.exe?

MFTECmd.exe ist ein Befehlszeilentool, das es Ermittlern der digitalen Forensik ermöglicht, MFT-Einträge von NTFS-Volumes zu analysieren und zu analysieren. Das Tool ist Teil der EZ Tools-Suite, die von Eric Zimmerman entwickelt wurde, um Ermittlern eine Reihe nützlicher digitaler Forensik-Tools zur Verfügung zu stellen. Das Tool MFTECmd.exe konzentriert sich speziell auf MFT, eine wichtige Komponente des NTFS-Dateisystems.

Eric Zimmerman-Tools: https://ericzimmerman.github.io/#!index.md

Warum ist die MFT wichtig?

Die MFT ist eine Datenbank, die Informationen über Dateien und Verzeichnisse auf einem NTFS-Volume speichert. Es ist ein wesentlicher Bestandteil des Dateisystems und enthält Informationen über Dateinamen, Erstellungsdaten, Änderungsdaten, Zugriffsdaten, Dateiattribute und mehr. Das Verständnis der MFT kann wertvolle Erkenntnisse darüber liefern, wie Dateien und Verzeichnisse auf einem Gerät erstellt, geändert und gelöscht wurden.

Wie funktioniert MFTECmd.exe?

MFTECmd.exe analysiert und analysiert MFT-Einträge. Es kann eine Reihe von Informationen aus der MFT extrahieren, darunter Dateinamen, Zeitstempel, Attribute und mehr. Mit dem Tool lassen sich auch Stichwortsuchen durchführen, sodass Ermittler schnell relevante Dateien und Verzeichnisse identifizieren können.

Eine der nützlichsten Funktionen von MFTECmd.exe ist die Möglichkeit, Daten in verschiedenen Formaten auszugeben, darunter CSV, HTML und JSON. Dies erleichtert den Import der Ausgabe in andere Tools und Anwendungen zur weiteren Analyse.

Verwenden von Kape – Kroll Artifact Parser/Extractor

Kape: https://ericzimmerman.github.io/KapeDocs/#!index.md

Bevor Sie eine Dateisystem-Zeitleiste erstellen, müssen Sie sicherstellen, dass die analysierten Daten korrekt und zuverlässig sind. Eine Möglichkeit, dies zu erreichen, besteht darin, Artefakte mit einem Tool wie Kape zu erwerben. Kape ist ein leistungsstarkes Triage-Tool, mit dem ein Snapshot des flüchtigen Speichers eines Geräts erstellt werden kann, sodass Ermittler die Daten in einer kontrollierten und sicheren Umgebung analysieren können.

Erstellen einer Dateisystem-Timeline mit MFTECmd

Sobald mit Kape Speicher erworben wurde, besteht der nächste Schritt darin, mit MFTECmd.exe eine Dateisystem-Timeline zu erstellen. Mit dem folgenden Befehl kann mit MFTECmd.exe eine Dateisystem-Timeline erstellt werden:

MFTECmd.exe -f C:\Kape\C\$MFT – body C:\Kape\ – bodyf Beispiel.body – blf – bdl C:

Lassen Sie uns jedes im Befehl verwendete Argument aufschlüsseln:

• „-f C:\Kape\C$MFT“ gibt den Pfad zur MFT-Datei an, die analysiert wird. In diesem Beispiel befindet sich die MFT-Datei im Verzeichnis C:\Kape\C\.
• „ — body C:\Kape“ gibt den Pfad an, in dem das Tool die Body-Datei ausgibt.
• „ — bodyf Beispiel.body“ gibt den Namen der Body-Datei an, die vom Tool generiert wird.
• „ — blf“ gibt an, dass die Ausgabedatei im Body-Dateiformat vorliegt.
• „ — bdl C:“ gibt den Laufwerksbuchstaben für das zu analysierende Dateisystem an.

Erstellen einer CSV-Datei mit Mactime

Um die Zeitleiste des Dateisystems in einem besser lesbaren Format anzuzeigen, können Ermittler mit dem Mactime-Tool eine CSV-Datei erstellen, die in einer Tabellenkalkulationsanwendung geöffnet werden kann. Mit dem folgenden Befehl kann mit mactime eine CSV-Datei erstellt werden:

mactime -z UTC -y -d -b Beispiel.körper 2022–01–01..2023–01–01 > FileSys.csv

In diesem Befehl gibt „-z UTC“ die für die Ausgabe zu verwendende Zeitzone an, „-y“ schließt den Dateityp in die Ausgabe ein, „-d“ schließt das Datum in die Ausgabe ein, „-b Beispiel.körper“ gibt an die zu analysierende Textdatei und „2022–01–01..2023–01–01“ gibt den Datumsbereich an, der in die Ausgabe einbezogen werden soll. Die Ausgabe wird dann in eine CSV-Datei mit dem Namen „FileSys.csv“ umgeleitet.

Diese Datei kann mit anderen Tools weiter analysiert oder in Timeline-Analysetools wie Timeline Explorer importiert werden.

Abschluss

Die Erstellung einer Dateisystem-Zeitleiste ist ein wichtiger Schritt bei digitalen forensischen Untersuchungen und bietet Ermittlern wertvolle Einblicke in die Dateisystemaktivität auf einem Gerät. Durch den Einsatz von Tools wie Kape und MFTECmd.exe können Ermittler genaue und zuverlässige Dateisystem-Zeitpläne erstellen, die mit anderen Tools und Techniken weiter analysiert werden können. Die Verwendung von Mactime zum Erstellen einer für Menschen lesbaren CSV-Datei erleichtert die Analyse und den Austausch der Daten mit anderen an der Untersuchung beteiligten Ermittlern oder Interessengruppen.