MFTECmd — oś czasu systemu plików

Co to jest MFTECmd.exe?

MFTECmd.exe to narzędzie wiersza polecenia, które umożliwia badaczom zajmującym się kryminalistyką cyfrową analizowanie i analizowanie wpisów MFT z woluminów NTFS. Narzędzie jest częścią pakietu EZ Tools, który został opracowany przez Erica Zimmermana w celu zapewnienia śledczym szeregu przydatnych narzędzi do kryminalistyki cyfrowej. Narzędzie MFTECmd.exe koncentruje się w szczególności na MFT, który jest krytycznym składnikiem systemu plików NTFS.

Narzędzia Erica Zimmermana: https://ericzimmerman.github.io/#!index.md

Dlaczego MFT jest ważny?

MFT to baza danych przechowująca informacje o plikach i katalogach na woluminie NTFS. Jest to niezbędny składnik systemu plików i zawiera informacje o nazwach plików, datach utworzenia, datach modyfikacji, datach dostępu, atrybutach plików i innych. Zrozumienie MFT może zapewnić cenny wgląd w sposób tworzenia, modyfikowania i usuwania plików i katalogów na urządzeniu.

Jak działa MFTECmd.exe?

MFTECmd.exe działa poprzez analizowanie i analizowanie wpisów MFT. Może wyodrębnić szereg informacji z MFT, w tym nazwy plików, znaczniki czasu, atrybuty i inne. Narzędzie może być również wykorzystywane do wyszukiwania słów kluczowych, co pozwala śledczym szybko zidentyfikować odpowiednie pliki i katalogi.

Jedną z najbardziej użytecznych funkcji programu MFTECmd.exe jest możliwość generowania danych w różnych formatach, w tym CSV, HTML i JSON. Ułatwia to import danych wyjściowych do innych narzędzi i aplikacji w celu dalszej analizy.

Używanie Kape — Parser/Ekstraktor artefaktów Kroll

Kape: https://ericzimmerman.github.io/KapeDocs/#!index.md

Przed utworzeniem osi czasu systemu plików należy upewnić się, że analizowane dane są dokładne i wiarygodne. Jednym ze sposobów na to jest zdobywanie artefaktów za pomocą narzędzia takiego jak Kape. Kape to potężne narzędzie do segregacji, które można wykorzystać do utworzenia migawki pamięci ulotnej urządzenia, umożliwiając śledczym analizę danych w kontrolowanym i bezpiecznym środowisku.

Tworzenie osi czasu systemu plików za pomocą MFTECmd

Po uzyskaniu pamięci za pomocą Kape następnym krokiem jest utworzenie osi czasu systemu plików za pomocą MFTECmd.exe. Następującego polecenia można użyć do utworzenia osi czasu systemu plików za pomocą MFTECmd.exe:

MFTECmd.exe -f C:\Kape\C\$MFT — body C:\Kape\ — bodyf Example.body — blf — bdl C:

Rozłóżmy każdy argument użyty w poleceniu:

• „-f C:\Kape\C$MFT” określa ścieżkę do pliku MFT, który zostanie przeanalizowany. W tym przykładzie plik MFT znajduje się w katalogu C:\Kape\C\.
• „ — body C:\Kape” określa ścieżkę, w której narzędzie wyświetli plik treści.
• „ — bodyf Example.body” określa nazwę pliku treści, który zostanie wygenerowany przez narzędzie.
• „ — blf” określa, że ​​plik wyjściowy będzie miał format pliku treści.
• „ — bdl C:” określa literę dysku dla analizowanego systemu plików.

Tworzenie pliku CSV za pomocą Mactime

Aby wyświetlić oś czasu systemu plików w formacie bardziej czytelnym dla człowieka, śledczy mogą użyć narzędzia mactime do utworzenia pliku CSV, który można otworzyć w arkuszu kalkulacyjnym. Następującego polecenia można użyć do utworzenia pliku CSV za pomocą mactime:

mactime -z UTC -y -d -b Example.body 2022–01–01..2023–01–01 > FileSys.csv

W tym poleceniu „-z UTC” określa strefę czasową używaną w danych wyjściowych, „-y” obejmuje typ pliku w danych wyjściowych, „-d” obejmuje datę w danych wyjściowych, „-b Example.body” określa plik treści do analizy, a „2022–01–01..2023–01–01” określa zakres dat, który ma zostać uwzględniony w danych wyjściowych. Dane wyjściowe są następnie przekierowywane do pliku CSV o nazwie „FileSys.csv”.

Ten plik można dalej analizować za pomocą innych narzędzi lub zaimportować do narzędzi do analizy osi czasu, takich jak Eksplorator osi czasu.

Wniosek

Tworzenie osi czasu systemu plików jest ważnym krokiem w dochodzeniach z zakresu kryminalistyki cyfrowej, dostarczając śledczym cennych informacji na temat aktywności systemu plików na urządzeniu. Korzystając z narzędzi takich jak Kape i MFTECmd.exe, śledczy mogą tworzyć dokładne i niezawodne harmonogramy systemu plików, które można dalej analizować za pomocą innych narzędzi i technik. Wykorzystanie mactime do utworzenia pliku CSV czytelnego dla człowieka ułatwia analizę i udostępnianie danych innym badaczom lub interesariuszom zaangażowanym w dochodzenie.