NTFS $STANDARD_INFORMATION ve $FILE_NAME — Adli Artefakt Başvurusu (Dosya sistemleri)

01Konum

$MFT entry: $STANDARD_INFORMATION (type 0x10) and one or more $FILE_NAME (type 0x30) attributes; copies of $FILE_NAME also appear in parent $I30 index entries

Bir dosyanın kullanıcıya görünen zaman damgaları oluşturulduktan sonra değiştirildi mi?
Dosya adı ne zaman oluşturuldu veya en son değişti (yeniden adlandırma, taşıma)?
Kısa (8.3) ve uzun adlar veya sabit bağlantılar tutarlı zamanlar taşıyor mu?

Biçim	$SI (yerleşik, 48 veya 72 bayt): oluşturma, son değiştirme, MFT girdisi değiştirme, son erişim; ofset 0, 8, 16, 24. $FILE_NAME (yerleşik): 0'da üst klasör başvurusu, ardından 8, 16, 24, 32'de aynı dört zaman, sonra boyutlar, bayraklar ve UTF-16LE ad.
Geçerli olduğu sürümler	Tüm NTFS sürümleri; $SI, NTFS 3.0'dan itibaren 72 bayttır. Zamanlar UTC FILETIME değerleridir.

Alan	Ne anlatır
$SI Creation / Modified / MFT modified / Accessed	Dosya sistemi görünümünde kullanıcıya gösterilen zamanlar; zaman damgası oynamasının yaygın hedefi.
$FN Creation / Modified / MFT modified / Accessed	Her dosya adı özniteliğindeki zamanlar; bunları değiştirmek genellikle çekirdek etkileşimi veya dosyayı taşıma ya da yeniden adlandırma gerektirir (MITRE).
$FN parent file reference	O ad için üst klasörün MFT başvurusu.
$FN namespace	POSIX, Windows (uzun), DOS (8.3) veya birleşik; bir girdi, her sabit bağlantı için bir tane dahil birden fazla $FILE_NAME özniteliği tutabilir.

Alan	Kodlama	Not
All eight values	FILETIME: 64-bit count of 100 ns intervals since 1601-01-01 UTC	NTFS zamanları UTC olarak kaydeder; son erişim güncellemeleri bir saate kadar ertelenebilir.

Ham değerleri Zaman damgası çözücü, yerel saatleri ise Yerel saatten UTC'ye ile çözün.

MFT girdisini ayrıştırın ve $SI ile her $FILE_NAME özniteliğini tam 100 ns hassasiyetle çıkarın.
$SI oluşturmanın $FN oluşturmadan önce olduğu veya $SI ile $FN değerlerinin birlikte ayarlandığını düşündürecek biçimde aynı olduğu girdileri işaretleyin.
$SI MFT değiştirme zamanını diğer $SI değerleriyle karşılaştırın: SetFileTime yalnızca oluşturma, son erişim ve son yazmayı ayarlar.
Sonuca varmadan önce USN günlüğü, $LogFile, kısayol dosyaları ve olay günlükleri gibi bağımsız kaynaklarla doğrulayın.

$SI/$FN uyuşmazlıkları meşru işlemlerden de (kopyalama, arşiv açma, yeniden adlandırma) doğar; uyuşmazlık kanıt değil, göstergedir.
MITRE, her iki özniteliği de ayarlayan 'çifte zaman damgası oynamasını' tanımlar; bu basit karşılaştırmayı etkisiz kılar.
MFT özniteliklerindeki $FILE_NAME boyut alanları her zaman doğru değildir (libyal, Carrier'a atıfla).
$STANDARD_INFORMATION içermeyen ancak $FILE_NAME içeren MFT girdileri gözlemlenmiştir; eksik öznitelikleri açıkça ele alın.

libfsntfs — New Technologies File System (NTFS) format documentation Joachim Metz (GitHub) · erişim 2026-10-14
Indicator Removal: Timestomp (T1070.006) MITRE ATT&CK · erişim 2026-10-14
FILETIME structure Microsoft Learn · erişim 2026-10-14
SetFileTime function Microsoft Learn · erişim 2026-10-14
File Times Microsoft Learn · erişim 2026-10-14