アンタイ・フォレンジック妖怪の独り言

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

プリフェッチと Atime

3/25に書いた Windows XP のプリフェッチ機能ですが、最終アクセス時刻(Atime)との関係についてもう少し詳しく見ておきたいと思います。
NTFS では、最終アクセス時刻の分解能が 1時間という仕様になっています。*1

プラットフォーム SDK GetFileTime より引用
http://msdn.microsoft.com/library/ja/jpsysinf/html/_win32_getfiletime.asp
『NTFS では、アクセス時刻の分解能は 1 時間です。』

さらに、最終アクセス日時の更新条件は以下のように説明されています。

プラットフォーム SDK GetFileTime より引用
http://msdn.microsoft.com/library/ja/jpsysinf/html/_win32_getfiletime.asp
『最終アクセス日時は、最終書き込み日時、最終読み取り日時、最終実行日時(実行可能ファイルの場合)のいずれかに基づいて決定されます。』

例えば、メモ帳(notepad.exe)を実行した場合、そのタイミングで Atime が更新されるわけですが、Atime の分解能は 1時間であるためその後 1時間は Notepad.exe を同じように実行しても Atime が変化しないことになります。
もうちょっと詳しい説明がマイクロソフトのドキュメントのいずこかに書いてあったのですが、URL を失念・・・orz

*1:FATではAtimeの分解能が1日です