MFTECmd — 파일 시스템 타임라인

MFTECmd.exe 란 무엇입니까?

MFTECmd.exe는 디지털 포렌식 조사관이 NTFS 볼륨에서 MFT 항목을 구문 분석하고 분석할 수 있도록 하는 명령줄 도구입니다. 이 도구는 Eric Zimmerman이 수사관에게 유용한 디지털 법의학 도구를 제공하기 위해 개발한 EZ 도구 제품군의 일부입니다. MFTECmd.exe 도구는 특히 NTFS 파일 시스템의 중요한 구성 요소인 MFT에 중점을 둡니다.

에릭 짐머만 도구: https://ericzimmerman.github.io/#!index.md

MFT가 중요한 이유는 무엇입니까?

MFT는 NTFS 볼륨의 파일 및 디렉터리에 대한 정보를 저장하는 데이터베이스입니다. 파일 시스템의 필수 구성 요소이며 파일 이름, 생성 날짜, 수정 날짜, 액세스 날짜, 파일 속성 등에 대한 정보를 포함합니다. MFT를 이해하면 장치에서 파일 및 디렉터리가 어떻게 생성, 수정 및 삭제되었는지에 대한 귀중한 통찰력을 얻을 수 있습니다.

MFTECmd.exe는 어떻게 작동합니까?

MFTECmd.exe는 MFT 항목을 구문 분석하고 분석하여 작동합니다. 파일 이름, 타임스탬프, 속성 등을 포함하여 MFT에서 다양한 정보를 추출할 수 있습니다. 또한 이 도구를 사용하여 키워드 검색을 수행할 수 있으므로 조사관이 관련 파일 및 디렉터리를 신속하게 식별할 수 있습니다.

MFTECmd.exe의 가장 유용한 기능 중 하나는 CSV, HTML 및 JSON을 비롯한 다양한 형식으로 데이터를 출력하는 기능입니다. 이렇게 하면 추가 분석을 위해 출력을 다른 도구 및 응용 프로그램으로 쉽게 가져올 수 있습니다.

Kape 사용 — Kroll 아티팩트 파서/추출기

케이프: https://ericzimmerman.github.io/KapeDocs/#!index.md

파일 시스템 타임라인을 만들기 전에 분석 중인 데이터가 정확하고 신뢰할 수 있는지 확인하는 것이 중요합니다. 이를 수행하는 한 가지 방법은 Kape와 같은 도구를 사용하여 아티팩트를 획득하는 것입니다. Kape는 장치의 휘발성 메모리 스냅샷을 생성하는 데 사용할 수 있는 강력한 분류 도구로, 조사관이 제어되고 안전한 환경에서 데이터를 분석할 수 있도록 합니다.

MFTECmd로 파일 시스템 타임라인 생성

Kape를 사용하여 메모리를 확보했으면 다음 단계는 MFTECmd.exe를 사용하여 파일 시스템 타임라인을 만드는 것입니다. 다음 명령을 사용하여 MFTECmd.exe를 사용하여 파일 시스템 타임라인을 만들 수 있습니다.

MFTECmd.exe -f C:\Kape\C\$MFT — 본문 C:\Kape\ — 본문f Example.body — blf — bdl C:

명령에 사용된 각 인수를 분석해 보겠습니다.

• "-f C:\Kape\C$MFT"는 분석할 MFT 파일의 경로를 지정합니다. 이 예에서 MFT 파일은 C:\Kape\C\ 디렉터리에 있습니다.
• " — 본문 C:\Kape"는 도구가 본문 파일을 출력할 경로를 지정합니다.
• " — bodyf Example.body"는 도구에서 생성할 본문 파일의 이름을 지정합니다.
• " — blf"는 출력 파일이 본문 파일 형식임을 지정합니다.
• " — bdl C:"는 분석 중인 파일 시스템의 드라이브 문자를 지정합니다.

Mactime으로 CSV 파일 만들기

사람이 더 읽기 쉬운 형식으로 파일 시스템 타임라인을 보기 위해 조사자는 mactime 도구를 사용하여 스프레드시트 응용 프로그램에서 열 수 있는 CSV 파일을 만들 수 있습니다. 다음 명령을 사용하여 mactime으로 CSV 파일을 만들 수 있습니다.

mactime -z UTC -y -d -b Example.body 2022–01–01..2023–01–01 > FileSys.csv

이 명령에서 "-z UTC"는 출력에 사용할 시간대를 지정하고 "-y"는 출력에 파일 유형을 포함하고 "-d"는 출력에 날짜를 포함하고 "-b Example.body"는 다음을 지정합니다. 분석할 본문 파일 및 "2022–01–01..2023–01–01"은 출력에 포함할 날짜 범위를 지정합니다. 그러면 출력이 "FileSys.csv"라는 CSV 파일로 리디렉션됩니다.

이 파일은 다른 도구를 사용하여 추가로 분석하거나 타임라인 탐색기와 같은 타임라인 분석 도구로 가져올 수 있습니다.

결론

파일 시스템 타임라인을 생성하는 것은 디지털 포렌식 조사에서 중요한 단계이며 조사관에게 장치의 파일 시스템 활동에 대한 귀중한 통찰력을 제공합니다. Kape 및 MFTECmd.exe와 같은 도구를 사용하여 조사자는 다른 도구 및 기술을 사용하여 추가로 분석할 수 있는 정확하고 신뢰할 수 있는 파일 시스템 타임라인을 만들 수 있습니다. 사람이 읽을 수 있는 CSV 파일을 생성하기 위해 mactime을 사용하면 데이터를 쉽게 분석하고 조사에 관련된 다른 조사자 또는 이해 관계자와 공유할 수 있습니다.