MFT analizi, NTFS ile biçimlendirilmiş bir diskteki her dosya ve klasör için tutulan Master File Table kayıtlarını inceleyerek adli kanıt çıkarma işidir. Bu tablo, dosya sisteminin bir tür içindekiler dizinidir: bir birimdeki her nesnenin en az bir kaydı vardır ve bu kayıt, dosyanın adını, boyutunu, konumunu ve zaman bilgilerini barındırır.

NTFS’te her dosyanın bir hikâyesi vardır ve o hikâyenin ilk satırı Master File Table’daki kaydında yazılıdır.

Master File Table Nasıl Çalışır?

Her MFT kaydı tipik olarak 1024 bayt uzunluğundadır ve $STANDARD_INFORMATION ile $FILE_NAME gibi öznitelikler taşır. Çok küçük dosyalar, ayrı bir alana yazılmak yerine doğrudan bu kaydın içine sığdırılabilir; bu da tek başına kaydı bile değerli bir kanıt kaynağına dönüştürür. Bir dosya silindiğinde kaydı çoğu zaman hemen üzerine yazılmaz, yalnızca yeniden kullanılabilir olarak işaretlenir.

Bu davranış, silinen dosyaların kurtarılmasının önünü açar. Analist, kullanımdan kalkmış ama henüz üzerine yazılmamış kayıtları tarayarak bir zamanlar var olan dosyanın adını ve zaman damgalarını yeniden inşa edebilir. Bu yönüyle MFT, geniş dosya sistemi adli analizi çalışmalarının çıkış noktalarından biridir.

Zaman Damgaları ve Manipülasyon

Her kayıt iki ayrı yerde zaman bilgisi tutar: $STANDARD_INFORMATION ve $FILE_NAME öznitelikleri. Bir saldırgan iz gizlemek için dosya tarihlerini geriye çekmeye çalıştığında (timestomping), çoğunlukla yalnızca ilk öznitelikteki değeri değiştirebilir; ikinci öznitelikteki tarihler değişmeden kaldığında iki set arasındaki tutarsızlık müdahaleyi ele verir. Bu ayrıntı, birçok anti-forensic teknikler denemesinin ortaya çıkmasını sağlar.

Toplanan zaman verileri tek başına değil, olayların sırasını kurmak için kullanılır. Kayıtlardaki oluşturma, değiştirme ve erişim zamanları bir araya getirildiğinde, geniş bir zaman çizelgesi analizi için gerekli iskeleti oluşturur ve saldırganın sistemde hangi anda ne yaptığı görünür hâle gelir.

Pratikte Ne Anlama Gelir?

Bir fidye yazılımı olayında hangi dosyaların şifrelendiğini, veri sızıntısında hangi belgelerin son anda oluşturulup taşındığını ya da bir içeriden tehdit vakasında hangi dosyaların gizlice kopyalandığını MFT kayıtları gösterir. Diskin tamamı taranmadan, yalnızca bu tek tablo üzerinden bile bir olayın iskeletini çıkarmak çoğu zaman mümkündür; bu nedenle analistler incelemeye sıklıkla MFT’den başlar.

Bir kurum için bunun anlamı, disk üzerinde bırakılan izlerin sanıldığından çok daha kalıcı olmasıdır. Privia Security, olay sonrası incelemelerde MFT ve benzeri dosya sistemi artefaktlarını derinlemesine değerlendiren adli analiz hizmetiyle, bir saldırının diskte bıraktığı sessiz izleri okunabilir bir anlatıya dönüştürür. Bu çalışmalar, daha geniş DFIR adli analiz ve olay müdahalesi sürecinin de temel girdisini sağlar.