MFT Master File Table

Définition

La Master File Table (MFT) est la structure de données centrale du système de fichiers NTFS (New Technology File System) utilisé par Windows. Elle est parfois décrite comme 'l'annuaire de NTFS' car elle contient une entrée pour chaque fichier et répertoire existant ou ayant existé sur le volume. C'est l'une des sources forensiques les plus riches et les plus fiables pour les investigations sur des systèmes Windows. La MFT est stockée dans un fichier spécial ($MFT) à la racine du volume, habituellement invisible pour les utilisateurs normaux. Elle commence avec 16 entrées réservées aux métafichiers NTFS ($MFT lui-même, $MFTMirr, $LogFile, $Volume, $AttrDef, $Bitmap, $Boot, $BadClus, $Secure, $UpCase, $Extend). Chaque entrée MFT (MFT Record) fait 1024 octets et contient des attributs décrivant un fichier ou répertoire. Les attributs forensiquement les plus importants d'une entrée MFT incluent : $STANDARD_INFORMATION (timestamps de création, modification, accès, changement, numéro de séquence, flags) et $FILE_NAME (nom du fichier avec ses propres timestamps). La présence de deux ensembles de timestamps ($STANDARD_INFORMATION et $FILE_NAME) est cruciale forensiquement : un attaquant utilisant des outils de timestomping (comme Metasploit's TimeStomp) modifie facilement les timestamps $STANDARD_INFORMATION, mais la modification des timestamps $FILE_NAME est plus difficile et nécessite des connaissances avancées. Une discordance entre les deux ensembles de timestamps est un indicateur fort de timestomping. L'outil MFTECmd (Eric Zimmerman) est la référence pour parser la MFT : il extrait toutes les entrées y compris celles de fichiers supprimés (dont les entrées restent dans la MFT jusqu'à être réutilisées), produit des outputs CSV analysables avec Timeline Explorer, et peut identifier les fichiers créés dans des fenêtres temporelles spécifiques ('find all files created on 2024-01-15'). La MFT peut également être extraite d'une image forensique avec des outils comme icat (Sleuth Kit) ou directement depuis Windows avec des outils élevés.