MFTECmd — Timeline Sistem File

Apa itu MFTECmd.exe?

MFTECmd.exe adalah alat baris perintah yang memungkinkan penyelidik forensik digital mengurai dan menganalisis entri MFT dari volume NTFS. Alat ini merupakan bagian dari paket EZ Tools, yang dikembangkan oleh Eric Zimmerman untuk menyediakan berbagai alat forensik digital yang berguna bagi para penyelidik. Alat MFTECmd.exe secara khusus berfokus pada MFT, yang merupakan komponen penting dari sistem file NTFS.

Alat Eric Zimmerman: https://ericzimmerman.github.io/#!index.md

Mengapa MFT penting?

MFT adalah database yang menyimpan informasi tentang file dan direktori pada volume NTFS. Ini adalah komponen penting dari sistem file dan berisi informasi tentang nama file, tanggal pembuatan, tanggal modifikasi, tanggal akses, atribut file, dan banyak lagi. Memahami MFT dapat memberikan wawasan berharga tentang bagaimana file dan direktori dibuat, dimodifikasi, dan dihapus di perangkat.

Bagaimana cara kerja MFTECmd.exe?

MFTECmd.exe bekerja dengan mem-parsing dan menganalisis entri MFT. Itu dapat mengekstrak berbagai informasi dari MFT, termasuk nama file, cap waktu, atribut, dan banyak lagi. Alat ini juga dapat digunakan untuk melakukan pencarian kata kunci, yang memungkinkan penyelidik dengan cepat mengidentifikasi file dan direktori yang relevan.

Salah satu fitur MFTECmd.exe yang paling berguna adalah kemampuannya untuk menampilkan data dalam berbagai format, termasuk CSV, HTML, dan JSON. Ini memudahkan untuk mengimpor keluaran ke alat dan aplikasi lain untuk analisis lebih lanjut.

Menggunakan Kape — Kroll Artifact Parser/Extractor

Kape: https://ericzimmerman.github.io/KapeDocs/#!index.md

Sebelum membuat garis waktu sistem file, penting untuk memastikan bahwa data yang dianalisis akurat dan andal. Salah satu cara untuk melakukannya adalah dengan memperoleh artefak menggunakan alat seperti Kape. Kape adalah alat triase yang kuat yang dapat digunakan untuk membuat snapshot memori perangkat yang mudah menguap, memungkinkan penyelidik untuk menganalisis data dalam lingkungan yang terkendali dan aman.

Membuat Timeline Sistem File dengan MFTECmd

Setelah memori diperoleh menggunakan Kape, langkah selanjutnya adalah membuat garis waktu sistem file menggunakan MFTECmd.exe. Perintah berikut dapat digunakan untuk membuat timeline sistem file menggunakan MFTECmd.exe:

MFTECmd.exe -f C:\Kape\C\$MFT — body C:\Kape\ — bodyf Contoh.body — blf — bdl C:

Mari uraikan setiap argumen yang digunakan dalam perintah:

• “-f C:\Kape\C$MFT” menentukan jalur ke file MFT yang akan dianalisis. Dalam contoh ini, file MFT terletak di direktori C:\Kape\C\.
• “ — body C:\Kape” menentukan jalur di mana alat akan menampilkan file tubuh.
• “ — bodyf Contoh.tubuh” menentukan nama file tubuh yang akan dihasilkan oleh alat.
• “ — blf” menentukan bahwa file keluaran akan berada dalam format file tubuh.
• “ — bdl C:” menentukan huruf drive untuk sistem file yang sedang dianalisis.

Membuat File CSV dengan Mactime

Untuk melihat garis waktu sistem file dalam format yang lebih mudah dibaca manusia, penyelidik dapat menggunakan alat mactime untuk membuat file CSV yang dapat dibuka di aplikasi spreadsheet. Perintah berikut dapat digunakan untuk membuat file CSV dengan mactime:

mactime -z UTC -y -d -b Contoh.tubuh 2022–01–01..2023–01–01 > FileSys.csv

Dalam perintah ini, "-z UTC" menentukan zona waktu yang akan digunakan untuk keluaran, "-y" menyertakan jenis file dalam keluaran, "-d" menyertakan tanggal dalam keluaran, "-b Contoh.tubuh" menentukan file tubuh yang akan dianalisis, dan "2022–01–01..2023–01–01" menentukan rentang tanggal untuk disertakan dalam output. Outputnya kemudian dialihkan ke file CSV bernama "FileSys.csv".

File ini dapat dianalisis lebih lanjut menggunakan alat lain atau diimpor ke alat analisis garis waktu seperti Timeline Explorer.

Kesimpulan

Membuat garis waktu sistem file adalah langkah penting dalam investigasi forensik digital, memberikan wawasan berharga kepada penyelidik tentang aktivitas sistem file di perangkat. Dengan menggunakan alat seperti Kape dan MFTECmd.exe, penyelidik dapat membuat garis waktu sistem file yang akurat dan andal yang dapat dianalisis lebih lanjut menggunakan alat dan teknik lain. Penggunaan mactime untuk membuat file CSV yang dapat dibaca manusia memudahkan analisis dan berbagi data dengan penyelidik lain atau pemangku kepentingan yang terlibat dalam penyelidikan.