JustAnswer のしくみ:
  • 専門家に質問
    知識豊富な専門家があらゆる質問にお答えするために常に待機しています。
  • 専門家が丁寧に対応
    E メールやサイト内オンラインメッセージなど、さまざまな手段で回答を通知。必要に応じてフォローアップの質問をすることもできます。
  • やり取り回数、制限なし
    専門家からの回答を確認し評価をすることで、支払うかどうかを決めます。
ITkunに今すぐ質問する
ITkun
ITkun, システムエンジニア
カテゴリ: オペレーティングシステム
満足したユーザー: 645
経験:  IT系サポート
105406645
ここに オペレーティングシステム に関する質問を入力してください。
ITkunがオンラインで質問受付中

タイムスタンプについて教えてください。

ユーザー評価:

タイムスタンプについて教えてください。 異なる記録媒体間(PC⇒USB、USB⇒PC)にファイルを移動させるときに、ドラッグ移動させると、新しく作成されるファイルの作成日時が更新される場合と、更新されない場合があります。
JA: 了解しました。お使いのパソコンの製品名とオペレーティングシステム(例:Windows 10)を教えていただけますか?
Customer: この違いは何なのでしょうか。 necのLAVIEDirect windows10です。
JA: ありがとうございます。上記の他に、テックサポートに事前に伝えておきたいことはありますか?
Customer: タイムスタンプについて、公式に説明されている文章等があれば教えて欲しいです。作成日時・更新日時・アクセス日時がどのようなとき に更新され、どのようなときに更新されないのか。ということについてです。

ご質問いただきありがとうございます。
私、ITkunが対応させていただきます。

タイムスタンプは見た目より若干複雑な構造をしています。

まず初めに、タイムスタンプには「$STANDARD_INFORMATION」と「$FILE_NAME」の2種類の記録方式があります。

$STANDARD_INFORMATION はWindows10のプロパティ画面で表示されるもので、1つのファイルに1つ記録されています。

ユーザーレベルでの編集が可能です。

$FILE_NAME は1つのファイルに複数記録されることがあり、システムカーネルによって記録されるので、ユーザーが故意に書き換えることはできません。

$STANDARD_INFORMATIONは利便性重視なのに対し、$FILE_NAMEは正確性重視のようなものとお考え下さい。

Windows10がどのようなルールでタイムスタンプを更新しているのかという公式な資料ではありませんが、どのような操作によってどの項目が更新されるのかについては、実験によりまとめられているデータがございます。

https://cyberforensicator.com/wp-content/uploads/2018/03/Windows-10-Time-Rules-Cyber-Forensicator_2.png

Windows10のプロパティ画面のタイムスタンプに関しては上段の「$STANDARD_INFO」をご覧ください。

各操作項目で上から順に「更新日時」「アクセス日時」「作成日時」「メタデータ」と並んでおり、青は更新されないもの、赤は更新されるものです。

例えばファイルをUSBドライブに移動させる場合は「Volume File Move」が当てはまります。実質的にコピーを行っておりますので、「File Copy」の項目と同じ結果です。

更新日時は変更されず、アクセス日時と作成日時が変更されるようです。

ファイルをUSBドライブに移動させた際に作成日時が更新されない場合は、既に同じ名前のファイルがUSBに現在存在しているか、削除されたものの過去に存在していた可能性がございます(ファイルを削除してもデータ自体は媒体に残っているからです)

これに当てはまる場合はファイルは新しく作成されたと判断されず、アクセス日時は変わるものの、作成日時はその同じ名前のファイルが初めてUSBに作成された日付のままになっていると考えられます。

作成日時が更新されるようにするには、移動(コピー)する前にファイル名を変更することで別のファイルだと認識させるか、USBドライブをフォーマットする等して残っているデータを削除することが有効かと思います。

フォーマットに関しては、Windowsのクイックフォーマットは簡易的なものになりますので、恐らく完全には削除されません。Windowsの通常のフォーマットでこのデータが削除されるかどうかは実験してみる必要がありそうです。

※この後、安心リモートサポートのご案内がシステムから自動的に送信されます。私からお送りしているものでは無く、ご希望の場合のみリクエストを行ってください。

質問者: 返答済み 7 日 前.
12372;連絡ありがとうございました。
$STANDARD_INFORMATION は、OSによって違いがあるのでしょうか。
windows10以前のOS(windows XP,VISTA,7,8)につき、送って頂いたURLのようなデータはありますか?

ご紹介したデータより過去のデータとして、いくつか参考になりそうなものがございました。

Windows10以前と思われるデータ

https://cyberforensicator.com/wp-content/uploads/2018/03/SANS_Windows_Time_Rules.png

Windows7の頃のデータ

https://blogs.sans.org/computer-forensics/files/2010/04/Windows-Time-STDINFO.jpg

ITkunをはじめその他2 名のオペレーティングシステムカテゴリの専門家が質問受付中
質問者: 返答済み 4 日 前.
25945;えて頂いてありがとうございました。
質問者: 返答済み 4 日 前.
35413;価させて頂いたと思うのですが、反映されていますでしょうか?

反映されております。

ご利用いただきありがとうございました。

オペレーティングシステム についての関連する質問