Glossaire
Master File Table (MFT)
L'index de métadonnées NTFS, stocké dans `$MFT`, qui contient un enregistrement par fichier et répertoire d'un volume.
La Master File Table est le cœur d'un volume NTFS : une base de données, stockée dans le fichier $MFT, qui contient au moins un enregistrement pour chaque fichier et répertoire présent. Si quelque chose existe sur le volume, il y possède une entrée, ce qui fait de la MFT une source primordiale pour les chronologies forensiques et pour retrouver les traces de fichiers supprimés.
Chaque enregistrement fait normalement 1024 octets et se compose d'un ensemble d'attributs tels que $STANDARD_INFORMATION, $FILE_NAME et $DATA. Lorsque le contenu d'un fichier est assez petit pour tenir dans l'enregistrement, il est stocké de façon résidente directement dans l'attribut $DATA plutôt que dans des clusters séparés : données et métadonnées cohabitent alors.
Comme la MFT consigne à la fois les métadonnées et le contenu des petits fichiers, l'analyste l'examine pour extraire noms, tailles, horodatages et répertoires parents sans monter le système de fichiers.
Voir aussi MACB Timestamps.
Artefacts concernés
- Descripteurs de sécurité $Secure:$SDSFiche $Secure:$SDS : magasin NTFS des descripteurs de sécurité, index $SDH et $SII, Security ID du $SI, SID propriétaire, ACL, collecte et MFTECmd.
- Table de fichiers maîtres ($MFT)Fiche $MFT : enregistrements FILE, horodatages $SI et $FN, données résidentes, entrées supprimées, numéros de séquence, timestomping et MFTECmd.