Table de fichiers maîtres ($MFT)

Présentation

La table de fichiers maîtres est le fichier de métadonnées central de tout volume NTFS. Chaque fichier et dossier, y compris les fichiers système NTFS eux-mêmes, est décrit par au moins un enregistrement FILE, en principe de 1 024 octets. Un enregistrement contient un en-tête et une liste d'attributs : $STANDARD_INFORMATION ($SI), un ou plusieurs $FILE_NAME ($FN), $DATA et, pour les dossiers, les attributs d'index $I30. Comme elle décrit tout le volume, la $MFT est généralement le premier artefact du système de fichiers analysé dans un dossier, et la colonne vertébrale de toute chronologie.

Emplacement

Les premiers enregistrements sont fixes : 0 $MFT, 1 $MFTMirr, 2 $LogFile, 3 $Volume, 5 dossier racine, 6 $Bitmap, 7 $Boot, 9 $Secure, 11 $Extend (qui contient notamment $UsnJrnl). Chaque volume NTFS connecté, clés USB comprises, possède sa propre $MFT.

Ce que l'artefact prouve

• Existence et chemin : un fichier ou dossier a existé sous ce nom dans ce dossier parent, y compris s'il est supprimé, tant que l'enregistrement n'a pas été réutilisé.
• Chronologie : deux jeux de quatre horodatages par fichier (voir plus bas), plus les tailles et les attributs.
• Suppression : un enregistrement dont l'indicateur « en usage » est à zéro décrit un fichier supprimé ; les métadonnées restent lisibles jusqu'à sa réallocation.
• Contenu des petits fichiers : les données résidentes permettent de récupérer intégralement de petits fichiers (scripts, notes, flux Zone.Identifier) directement dans l'enregistrement.
• Manipulation d'horodatages : les écarts $SI/$FN et les fractions de seconde à zéro orientent vers du timestomping.
• Elle ne prouve pas une exécution, l'identité du créateur ni l'ouverture par un utilisateur. Le propriétaire se trouve dans $Secure:$SDS ; l'historique dans le journal USN.

Champs clés

Horodatages

$SI et $FN contiennent chacun quatre valeurs FILETIME en UTC, à 100 nanosecondes près : création, modification, modification de l'enregistrement, accès (MACB).

Vérifiez le réglage des dates d'accès sous HKLM\SYSTEM\CurrentControlSet\Control\FileSystem\NtfsDisableLastAccessUpdate : 1 signifie désactivé sur les anciennes versions ; 0x80000000 à 0x80000003 sont les nouvelles valeurs gérées par l'utilisateur ou le système (valeur impaire = désactivé).

Rétention et effacement

• La table grandit mais ne rétrécit pas. Les enregistrements libérés sont réutilisés pour de nouveaux fichiers : les métadonnées d'un fichier supprimé survivent donc une durée imprévisible, de quelques minutes sur un disque système chargé à des années sur un volume de données peu actif.
• À chaque réutilisation, le numéro de séquence augmente ; les références portant l'ancien numéro (slack $I30, journal USN, fichiers LNK) désignent le fichier précédent.
• Les outils d'effacement écrasent le contenu mais laissent souvent des enregistrements renommés ou remis à zéro ; des outils comme sdelete renomment le fichier plusieurs fois avant de le supprimer, ce qui produit des rafales de renommages dans le journal USN.
• Le formatage crée une nouvelle $MFT ; d'anciens enregistrements peuvent encore être carvés dans l'espace non alloué.

Collecte

• Cible KAPE : $MFT (également incluse dans la cible composée FileSystem)
• Velociraptor (Windows.Triage.Targets) : $MFT
• Commandes natives : la $MFT ne peut pas être ouverte via l'API Windows. Utilisez un outil d'accès NTFS brut (KAPE, Velociraptor, FTK Imager) ou une image disque. Les commandes natives ne donnent que le contexte :

fsutil fsinfo ntfsinfo C:
fsutil behavior query disablelastaccess
reg query "HKLM\SYSTEM\CurrentControlSet\Control\FileSystem" /v NtfsDisableLastAccessUpdate

fsutil fsinfo ntfsinfo indique la taille d'un enregistrement FILE et la taille actuelle de la $MFT.

Outils d'analyse

• MFTECmd (Eric Zimmerman) : MFTECmd.exe -f E:\C\$MFT --csv E:\out produit une ligne par enregistrement avec les dates $SI et $FN, InUse, SI<FN, uSecZeros, Copied, SecurityId et le contenu résident des Zone.Identifier. --de 5 détaille un enregistrement ; --body produit un bodyfile ; --rs récupère des enregistrements dans le slack.
• Velociraptor : Windows.NTFS.MFT analyse la table en direct ou hors ligne ; Windows.Timeline.MFT ajoute des indicateurs d'anomalie ; Windows.NTFS.Recover extrait un fichier supprimé par son numéro d'enregistrement.
• dfir_ntfs (Maxim Suhanov, open source) : ntfs_parser --mft exporte les enregistrements en CSV ; --all-mft travaille sur une image brute.
• The Sleuth Kit : istat, fls -r et icat inspectent les enregistrements et récupèrent des fichiers résidents ou non alloués depuis une image.
• Plaso : le parseur mft verse chaque horodatage $SI et $FN dans une super-chronologie.

Conseils d'investigation

• Filtrez sur SI<FN = true et uSecZeros = true : une création $SI antérieure à la création $FN, avec des fractions .0000000, est le schéma classique du timestomping. Confirmez avec le journal USN (BasicInfoChange) et $LogFile avant de le rapporter.
• Triez par chemin parent et date de création $FN pour retrouver tout ce qui a été déposé ensemble, par exemple un dossier d'outils extrait sous \ProgramData\.
• Exploitez les enregistrements supprimés (InUse = false) et leur référence parent pour reconstituer le contenu d'un dossier de préparation avant nettoyage.
• Lisez les flux Zone.Identifier résidents dans la sortie : ils révèlent l'URL d'origine d'un téléchargement même sans historique de navigation. Voir Zone.Identifier.
• Analysez aussi le $I30 des dossiers clés : le slack d'index conserve des noms de fichiers dont l'enregistrement a déjà été réutilisé.
• Relevez toujours la valeur de NtfsDisableLastAccessUpdate avant d'interpréter les dates d'accès.