NTFS MFT Viewer

De NTFS MFT Viewer analyseert een Master File Table-dump door elk MFT-record te parsen, kernattributen te extraheren en een gestructureerde weergave van bestandsverwijzingen, groottes en tijdstempels te tonen. Het ondersteunt het decoderen van UTF-16LE-bestandsnamen en het converteren van FILETIME-waarden naar UTC, waardoor onderzoekers bestandactiviteit kunnen traceren, verwijderde of wezenloze records kunnen identificeren en de consistentie van het bestandssysteem over meerdere entries kunnen controleren.
Belangrijke outputs zijn een gestructureerde dataset van MFT-records, een tijdlijn van bestandsactiviteit en kruisverwezen ouder-kind relaties. De tool kan resultaten exporteren als JSON of CSV voor integratie in analysepijplijnen of SIEMs. Beschadigde records worden robuust afgehandeld, met logging van anomalieën terwijl de analyse doorgaat, en de scope kan worden beperkt tot een opgegeven MFT-entrybereik voor gerichte resultaten.
Potentiële gebruikers zijn forensische teams, incidentrespons en data engineers die snelle, herhaalbare MFT-analyses nodig hebben zonder een volledige disk-imaging-workflow. De meerwaarde ligt in robuuste attribuut-decodering, nauwkeurige tijd-normalisatie en flexibele exportopties die offline casework, archiefaudits en documentatie van bevindingen ondersteunen.