MFT
Master File Table (NTFS)
Master File Table
Die Master File Table ist das zentrale Verzeichnis des NTFS-Dateisystems: Sie führt für jede Datei einen Eintrag mit Namen, Größe, Zeitstempeln und dem Speicherort. Forensisch ist sie eine erstklassige Quelle, weil sie detailliert dokumentiert, welche Dateien existieren oder existierten und wann sie verändert wurden. Sie ist ein Herzstück der Windows-Forensik.
Historie & Fakten. In der MFT hält NTFS für jede Datei umfangreiche Metadaten vor, darunter mehrere Zeitstempel (Erstellung, Änderung, Zugriff, MFT-Eintragsänderung). Selbst nach dem Löschen können Einträge eine Zeit lang erhalten bleiben, bevor sie überschrieben werden — wertvoll für die Rekonstruktion. Die verschiedenen Zeitstempel sind zudem ein Ansatzpunkt, um Manipulationen (Timestomping) zu erkennen, wenn sie nicht zueinander passen.
Ausblick & Empfehlung. Die MFT ist eine der ergiebigsten Quellen für Timeline-Analysen unter Windows, weil sie das „Wann“ zahlreicher Dateioperationen liefert. Für belastbare Schlüsse sollten ihre Zeitstempel mit weiteren Quellen (Protokolle, Registry, Prefetch (Windows) (Prefetch)) abgeglichen werden — Widersprüche entlarven Manipulation. In Kombination mit Werkzeugen wie The Sleuth Kit und Plaso (log2timeline) (Plaso) wird die MFT zu einem zentralen Baustein der Rekonstruktion eines Vorfalls.