---

name: hunting-for-defense-evasion-via-timestomping description: > 通过比较 MFT 中的 $STANDARD_INFORMATION 与 $FILE_NAME 时间戳， 检测 NTFS 时间戳篡改（MITRE T1070.006）。使用 analyzeMFT 和 Python 识别具有异常时序模式的文件， 表明存在反取证时间戳篡改活动。 domain: cybersecurity subdomain: threat-hunting tags: [timestomping, ntfs-forensics, mft-analysis, defense-evasion] version: "1.0" author: mahipal license: Apache-2.0

狩猎通过时间戳篡改进行的防御规避

通过分析 NTFS MFT 条目中 $STANDARD_INFORMATION 和 $FILE_NAME 属性之间的差异来检测时间戳篡改。