MFTECmd — Cronologia del file system

Cos'è MFTECmd.exe?

MFTECmd.exe è uno strumento da riga di comando che consente agli investigatori forensi digitali di analizzare e analizzare le voci MFT dai volumi NTFS. Lo strumento fa parte della suite EZ Tools, sviluppata da Eric Zimmerman per fornire agli investigatori una gamma di utili strumenti di digital forensics. Lo strumento MFTECmd.exe si concentra specificamente sulla MFT, che è un componente critico del file system NTFS.

Strumenti di Eric Zimmerman: https://ericzimmerman.github.io/#!index.md

Perché è importante la MFT?

L'MFT è un database che memorizza informazioni su file e directory su un volume NTFS. È un componente essenziale del file system e contiene informazioni su nomi di file, date di creazione, date di modifica, date di accesso, attributi di file e altro. Comprendere la MFT può fornire preziose informazioni su come i file e le directory sono stati creati, modificati ed eliminati su un dispositivo.

Come funziona MFTECmd.exe?

MFTECmd.exe funziona analizzando e analizzando le voci MFT. Può estrarre una serie di informazioni dalla MFT, inclusi nomi di file, timestamp, attributi e altro. Lo strumento può anche essere utilizzato per eseguire ricerche di parole chiave, consentendo agli investigatori di identificare rapidamente file e directory pertinenti.

Una delle funzionalità più utili di MFTECmd.exe è la sua capacità di produrre dati in una gamma di formati, inclusi CSV, HTML e JSON. Ciò semplifica l'importazione dell'output in altri strumenti e applicazioni per ulteriori analisi.

Utilizzo di Kape — Kroll Artifact Parser/Extractor

Kape: https://ericzimmerman.github.io/KapeDocs/#!index.md

Prima di creare una sequenza temporale del file system, è importante assicurarsi che i dati analizzati siano accurati e affidabili. Un modo per farlo è acquisire artefatti utilizzando uno strumento come Kape. Kape è un potente strumento di triage che può essere utilizzato per creare un'istantanea della memoria volatile di un dispositivo, consentendo agli investigatori di analizzare i dati in un ambiente controllato e sicuro.

Creazione di una linea temporale del file system con MFTECmd

Una volta che la memoria è stata acquisita utilizzando Kape, il passaggio successivo consiste nel creare una sequenza temporale del file system utilizzando MFTECmd.exe. Il seguente comando può essere utilizzato per creare una sequenza temporale del file system utilizzando MFTECmd.exe:

MFTECmd.exe -f C:\Kape\C\$MFT — body C:\Kape\ — bodyf Esempio.body — blf — bdl C:

Analizziamo ogni argomento utilizzato nel comando:

• "-f C:\Kape\C$MFT" specifica il percorso del file MFT che verrà analizzato. In questo esempio, il file MFT si trova nella directory C:\Kape\C\.
• “ — body C:\Kape” specifica il percorso in cui lo strumento produrrà il file del corpo.
• “ — bodyf Esempio.body” specifica il nome del file del corpo che verrà generato dallo strumento.
• “ — blf” specifica che il file di output sarà nel formato body file.
• “ — bdl C:” specifica la lettera dell'unità per il file system analizzato.

Creazione di un file CSV con Mactime

Per visualizzare la sequenza temporale del file system in un formato più leggibile, gli investigatori possono utilizzare lo strumento mactime per creare un file CSV che può essere aperto in un'applicazione per fogli di calcolo. Il seguente comando può essere utilizzato per creare un file CSV con mactime:

mactime -z UTC -y -d -b Esempio.corpo 2022–01–01..2023–01–01 > FileSys.csv

In questo comando, "-z UTC" specifica il fuso orario da utilizzare per l'output, "-y" include il tipo di file nell'output, "-d" include la data nell'output, "-b Example.body" specifica il file del corpo da analizzare e "2022–01–01..2023–01–01" specifica l'intervallo di date da includere nell'output. L'output viene quindi reindirizzato a un file CSV denominato "FileSys.csv".

Questo file può essere ulteriormente analizzato utilizzando altri strumenti o importato in strumenti di analisi della sequenza temporale come Timeline Explorer.

Conclusione

La creazione di una sequenza temporale del file system è un passaggio importante nelle indagini forensi digitali, poiché fornisce agli investigatori informazioni preziose sull'attività del file system su un dispositivo. Utilizzando strumenti come Kape e MFTECmd.exe, gli investigatori possono creare timeline di file system accurate e affidabili che possono essere ulteriormente analizzate utilizzando altri strumenti e tecniche. L'uso di mactime per creare un file CSV leggibile dall'uomo semplifica l'analisi e la condivisione dei dati con altri investigatori o parti interessate coinvolte nell'indagine.