アンタイ・フォレンジック伝道者の独り言

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

復元ポイントの作成間隔

Vistaのヘルプには、「復元ポイントは、通常は1日に1回作成されます」という記述がありますが、具体的に何時に実行されるのかについては記述がないようです。
とりあえず、タスクスケジューラを起動して、それらしいタスクを探してみると『SR』*1というタスクがあり、説明文が“このタスクでは標準のシステム保護ポイントが作成されます。”となっていることから、恐らくこれが復元ポイントを作成するためのタスクと思われます。
Windows Vista のデフォルト設定条件としては以下のような感じです。

  1. ユーザーがログオンしているかどうかにかかわらず実行する(ON)
  2. 毎日 0:00 に起動、システム起動時
  3. タスクを開始するまでのコンピュータのアイドル時間:10分間
  4. コンピュータをAC電源で使用している場合にのみタスクを開始する(ON)
  5. コンピュータの電源がバッテリに切り替わった場合は停止する(OFF)
  6. タスクを要求時に実行する(ON)
  7. スケジュールされた時刻にタスクを開始できなかった場合、すくにタスクを実行する(ON)
  8. タスクを停止するまでの時間:3日間
  9. 要求時に実行中のタスクが終了しない場合、タスクを強制的に停止する(ON)

タスクスケジューラの履歴タブを確認すると、過去の実行結果を確認することができるので、タスクスケジューラの履歴と、vssadmin list shadows の結果を比較してみたのですが、なぜか微妙に差異がありますね。
最新のシャドウコピーセットは以下の作成時刻になっていますが、該当時刻のタスクスケジューラ側の履歴には特になにもレコードがありません。

シャドウ コピー セット ID: {4cdefdbf-2058-4507-8bfa-e67a9852ffbf} の内容
1 個のシャドウ コピー、作成時刻: 2008/02/16 9:44:01
シャドウ コピー ID: {5595e0e8-3dbe-42f2-a9cf-2ac954087e32}
元のボリューム: (C:)\\?\Volume{8fb574fd-97b6-11db-8bb0-806e6f6e6963}\
シャドウ コピー ボリューム: \\?\GLOBALROOT\Device\HarddiskVolumeShadowCop
y36

イベントログのシステムを確認したところ、2008/02/16 9:43:47 に「Volume Shadow Copy サービスは 実行中 状態に移行しました。」というレコードが存在しているので、サービスの開始段階で動きがあるということなのか、もう少し実験してみないとわかりませんねぇ。タスクのスタートアップ時の条件に従ったのであれば、タスクスケジューラの履歴に記録があってもよさそうな気がします・・・<追記>
システムの復元、を確認したところ推奨される復元の時刻として「2008/02/16 9:43:47 インストール:Windows Update」の記載があるので、恐らく上記のシャドウコピーは Windows Update により作成されたものである気がしています。<追記2>
KY な先生に参考 URL を教えていただいたのでメモ
http://www.mebius-faq.jp/faq/1030/app/servlet/qadoc?003450

*1:SystemRestoreの略称