NTFS MFT Viewer

L’NTFS MFT Viewer analizza un dump della Master File Table esaminando ogni record MFT, estraendo attributi chiave e presentando una visione strutturata di riferimenti ai file, dimensioni e timestamp. Supporta la decodifica dei nomi file UTF-16LE e la conversione dei valori FILETIME in UTC, consentendo agli investigatori di tracciare l’attività dei file, identificare record eliminati o orfani e verificare la coerenza del file system su più voci.
Gli output principali includono un set di dati strutturato di record MFT, una timeline dell’attività sui file e relazioni genitore-figlio incrociate. Lo strumento può esportare risultati in JSON o CSV per integrazione in pipeline analitiche o SIEM. Gestisce i record corrotti in modo affidabile, registrando anomalie e proseguendo l’analisi; può limitare l’ambito a un intervallo di entry MFT specificato per mantenere i risultati focalizzati.
Destinatari includono team forensi, risposte agli incidenti e data engineer che necessitano di analisi MFT rapida e ripetibile senza avviare un intero flusso di imaging del disco. Il valore unico è rappresentato da decodifica robusta degli attributi, normalizzazione temporale accurata e opzioni di esportazione flessibili che supportano lavori offline, audit d’archivio e documentazione dei risultati.