rowingdude/analyzemftanalyzeMFT.py is designed to fully parse the MFT file from an NTFS filesystem and present the results as accurately as possible in multiple formats.
Status: Alle Tests bestehen unter Python 3.8-3.12 auf Windows, macOS und Linux.
# Installieren
pip install analyzeMFT
# Grundlegende Nutzung
python analyzeMFT.py -f MFT_DATEI -o ausgabe.csv --csv
# Test-MFT für Tests erstellen
python -c "from src.analyzeMFT.test_generator import create_test_mft; create_test_mft('test.mft', 100)"
# Analyse mit mehreren Ausgaben
python analyzeMFT.py -f test.mft -o ausgabe.json --json --hash
AnalyzeMFT ist ein Python-basiertes Werkzeug zum Parsen und Analysieren der NTFS-Master-File-Tabelle (MFT).
Es wandelt rohe binäre MFT-Daten in strukturierte, menschenlesbare Ausgaben um, die für digitale Forensik, Incident Response und Dateisystemanalyse geeignet sind. Das Tool unterstützt eine breite Palette von Ausgabeformaten und bietet eine detaillierte Metadatenextraktion, sodass Ermittler Dateizeitstempel, Attribute und strukturelle Eigenschaften von NTFS-Volumes untersuchen können.
Der Hauptzweck von AnalyzeMFT besteht darin, forensischen Analysten bei der Rekonstruktion von Dateisystemaktivitäten durch Dekodierung von MFT-Einträgen zu helfen. Jeder Eintrag enthält kritische Informationen wie Dateinamen, Erstellungs- und Änderungszeiten, Dateigrößen und Verzeichnisbeziehungen. Das Tool verarbeitet sowohl aktive als auch gelöschte Einträge und ermöglicht so eine umfassende Zeitachsenanalyse und Artefaktwiederherstellung. Es enthält eine robuste Fehlerbehandlung, um mit beschädigten oder unvollständigen MFT-Einträgen umzugehen, und gewährleistet eine zuverlässige Verarbeitung selbst auf beschädigten Dateisystemen.
Es werden mehrere Ausgabeformate unterstützt, um in gängige forensische Arbeitsabläufe integriert zu werden. Benutzer können Ergebnisse als CSV-, JSON-, XML- oder Excel-Dateien zur Überprüfung und Berichterstellung exportieren. Für die Zeitachsenanalyse steht das mit mactime und anderen Werkzeugen kompatible Bodyfile-Format zur Verfügung. Der SQLite-Export erstellt eine relationale Datenbankstruktur für Abfragen und Langzeitspeicherung. Die TSK-Zeitachse und das log2timeline-CSV-Format ermöglichen die direkte Aufnahme in etablierte forensische Plattformen.
Leistungsoptimierungen sind in das Tool integriert, um große MFT-Dateien effizient zu verarbeiten. Die Verarbeitung erfolgt in konfigurierbaren Blöcken, um die Speichernutzung zu steuern – besonders wichtig bei der Analyse von MFTs, die hunderte Megabyte groß sind. Multiprocessing wird bei der Hash-Berechnung eingesetzt, um die Verarbeitungszeit zu reduzieren. Benutzer können die Anzahl der Worker-Prozesse und die Blockgröße basierend auf den Systemressourcen anpassen. Fortschrittsanzeigen geben in Echtzeit Rückmeldung bei länger laufenden Vorgängen.
Das Tool unterstützt konfigurierbare Analyseprofile für unterschiedliche betriebliche Anforderungen. Das Standardprofil bietet eine ausgewogene Verarbeitung für den allgemeinen Gebrauch. Das Schnellprofil minimiert den Verarbeitungsaufwand für eine schnelle Ersteinschätzung. Das Forensik-Profil ermöglicht eine maximale Datenextraktion, einschließlich aller Zeitstempelvarianten und erweiterter Attribute. Das Leistungsprofil passt interne Einstellungen an, um Geschwindigkeit und Ressourceneffizienz bei großen Datensätzen zu priorisieren.
Die Hash-Berechnung steht für Dateieintragsattribute mit Datenläufen zur Verfügung. MD5-, SHA256-, SHA512- und CRC32-Hashes können für residente und nicht-residente Daten erzeugt werden. Diese Funktion unterstützt die Dateiidentifikation und Integritätsprüfung. Die Hashing erfolgt standardmäßig parallel, wobei die Anzahl der Prozesse konfigurierbar ist. Benutzer können Multiprocessing deaktivieren, wenn sie in eingeschränkten Umgebungen arbeiten.
Die Konfiguration erfolgt über Kommandozeilenoptionen oder externe Dateien im JSON- oder YAML-Format. Eine Konfigurationsdatei kann Ausgabeeinstellungen, Analyseprofile, Hash-Optionen und Filterkriterien definieren. Beispielkonfigurationsdateien können mit der Option --create-config erstellt werden. Die Option --list-profiles zeigt alle verfügbaren integrierten Profile und deren Beschreibungen an.
Die Eingabe wird mit der Option -f gefolgt vom Pfad zur MFT-Datei angegeben. Das Ausgabeformat wird durch die Dateierweiterung oder explizite Export-Flags bestimmt. Die Option -o legt das Ausgabeziel fest. Beim Export nach SQLite muss das Flag --sqlite verwendet werden. Für CSV-Ausgabe ist kein zusätzliches Flag erforderlich, wenn die Ausgabedatei auf .csv endet.
Ein MFT-Testgenerator ist für Entwicklungs- und Schulungszwecke enthalten. Mit der Option --generate-test-mft können Benutzer synthetische MFT-Dateien mit einer bestimmten Anzahl von Einträgen erstellen. Diese Funktion ist nützlich, um die Tool-Funktionalität zu validieren, Parser zu testen oder Demonstrationsdaten zu erstellen.
Zu den Kommandozeilenoptionen gehören Ausführlichkeitssteuerungen mit -v für erhöhte Ausgabe und -d für Debug-Level-Logging. Diese helfen bei der Diagnose von Problemen während der Verarbeitung. Exportoptionen ermöglichen die Auswahl des Formats ohne Abhängigkeit von Dateierweiterungen. Leistungsoptimierungsoptionen umfassen --chunk-size für die Batch-Größe der Datensätze und --hash-processes zur Festlegung der Anzahl der Hashing-Threads.
Das Tool enthält ein strukturiertes Hilfesystem. Die Ausführung des Skripts mit --help zeigt alle verfügbaren Optionen und deren Beschreibungen an. Die Nutzungsübersicht zeigt erforderliche und optionale Argumente. Detaillierte Erläuterungen werden für jede Kategorie von Optionen bereitgestellt, einschließlich Export-, Leistungs-, Konfigurations- und Debugging-Einstellungen.
Version 3.1.1 enthält erhebliche Verbesserungen der Codequalität und Testabdeckung. Die Testsuite umfasst nun 224 umfassende Tests, die alle Hauptkomponenten abdecken. GitHub Actions CI/CD-Pipelines gewährleisten Codequalität unter Python 3.8-3.12 auf Linux, Windows und macOS. Sicherheitsscans mit Bandit und Abhängigkeitsprüfungen mit Safety sind in den Build-Prozess integriert. Die Codeabdeckungsberichterstattung über Codecov verfolgt die Testeffektivität.
Geplante Exportformate umfassen STIX/TAXII für den Austausch von Bedrohungsinformationen sowie die Integration mit Elasticsearch und Splunk für die zentrale Protokollanalyse. Der Graphdatenbank-Export nach Neo4j wird die Visualisierung von Dateisystembeziehungen ermöglichen. Benutzer werden in der Lage sein, die Ausgabe direkt im Tool nach Datumsbereich, Dateityp und Größe zu filtern. Ein interaktiver Modus könnte eingeführt werden, um eine schrittweise Untersuchung von Datensätzen zu ermöglichen.
Beiträge zum Projekt werden über GitHub-Pull-Requests akzeptiert. Entwickler müssen die Kompatibilität mit Python 3.8 und höher sicherstellen. Jeder neue Code muss Typannotationen und umfassende Unit-Tests enthalten. Die Testsuite wird mit pytest ausgeführt, und die Abdeckung muss über 80 % bleiben. Der Code sollte den PEP-8-Richtlinien folgen und plattformübergreifend kompatibel sein. Die Dokumentation muss für alle neuen Funktionen oder Änderungen aktualisiert werden.
Dieses Tool wird wie besehen für legitime forensische und sicherheitsanalytische Zwecke bereitgestellt. Die Benutzer sind dafür verantwortlich, sicherzustellen, dass sie über die entsprechende Autorisierung verfügen, bevor sie Dateisysteme oder MFT-Daten analysieren. Die Autoren übernehmen keine Haftung für Missbrauch dieser Software.