アンタイ・フォレンジック妖怪の独り言

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

NTFS代替データストリームの追加

まずはテスト用のファイルを作成

echo test > a.txt

File Indentifierは 19341番、Entry Modified を含むタイムスタンプはいずれも 09:08:26
つぎに、NTFS 代替データストリームを追加した場合。

echo sample > a.txt:b.txt

MFTレコードにストリームが追加されるので、期待値としては Entry Modified が変化すると思われるので、タイムスタンプを確認。
Last Written と Entry Modified 共に 09:15:03 に変化しており、属性の追加により Entry Modified が変化したのと区別することが困難?

NTFS 代替データストリームの追加時の変化
Last  Written  ○
Entry Modified ○

○は変化、−は変化なし