用途：分析 NTFS 卷的主文件表（$MFT），恢复已删除文件的元数据与内容，重建文件系统时间线，并检测时间戳篡改等反取证行为。文件被删除后其 MFT 记录仅标记为未使用，元数据会保留至被重新分配，因此 MFT 分析是恢复删除证据的主要手段。
主要能力：解析 MFT 记录头与关键属性（$STANDARD_INFORMATION、$FILE_NAME、$DATA 等）；识别 InUse=False 的已删除记录；分析 USN 日志（$UsnJrnl:$J）中的删除、重命名等事件；解析 $LogFile 事务记录；检查 MFT 松弛空间中的残留数据；与回收站（$Recycle.Bin）及卷影副本交叉比对；通过比较 $SI 与 $FN 时间戳检测时间戳篡改。
使用方式：需准备取证磁盘镜像（E01、raw/dd、VMDK 或 VHDX）、MFTECmd 或 analyzeMFT、镜像挂载工具及 CSV 分析工具。典型命令：MFTECmd.exe -f "C:\Evidence$MFT" --csv C:\Output --csvf mft_full.csv；解析 USN 日志：MFTECmd.exe -f "C:\Evidence$J" --csv C:\Output --csvf usn_journal.csv；解析 $LogFile：LogFileParser.exe -l "C:\Evidence$LogFile" -o C:\Output；解析回收站：RBCmd.exe -d "C:\Evidence$Recycle.Bin" --csv C:\Output --csvf recycle_bin.csv。
适用场景：安全事件调查、威胁狩猎规则构建、SOC 结构化分析流程、验证相关攻击技术的监控覆盖。
限制：需要 NTFS 文件系统内部知识；恢复成功率取决于簇是否被重新分配；部分记录可能不可恢复；具体工具版本与平台支持暂未提供。