NTFS MFT Viewer

Der NTFS MFT Viewer analysiert einen Master File Table-Dump, indem er jeden MFT-Eintrag parsst, Schlüsselattribute extrahiert und eine strukturierte Ansicht von Dateiverweisen, Größen und Zeitstempeln bietet. Er unterstützt das Decodieren von UTF-16LE-Dateinamen und die Umwandlung von FILETIME-Werten in UTC, sodass Ermittler Dateiaktivitäten nachverfolgen, gelöschte oder verwaiste Datensätze identifizieren und die Konsistenz des Dateisystems über mehrere Einträge hinweg prüfen können.
Zu den Kernausgaben gehören ein strukturierter Datensatz von MFT-Einträgen, eine Timeline der Dateiaktivität und verknüpfte Parent-Child-Beziehungen. Das Tool kann Ergebnisse als JSON oder CSV exportieren, um sie in Analyse-Pipelines oder SIEMs zu integrieren. Es behandelt beschädigte Einträge robust, protokolliert Anomalien und fährt mit der Analyse fort; man kann den Umfang auf einen angegebenen MFT-Eintragsbereich beschränken, um Relevanz zu erhöhen. Begünstigte sind Forensik-Teams, Incident-Response-Teams und Data Engineers, die schnelle, reproduzierbare MFT-Analysen benötigen, ohne einen vollständigen Disk-Imaging-Workflow zu starten. Der einzigartige Wert liegt in robuster Attribut-Decodierung, genauer Zeit-Normalisierung und flexiblen Exportoptionen, die Offline-Fallarbeit, Archivprüfungen und Dokumentation der Ergebnisse unterstützen.