アンタイ・フォレンジック妖怪の独り言

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

Excluding Files from Shadow Copies

シャドウ コピー関連のレジストリでは「FilesNotToSnapshot」があり、これでシャドウ コピーの対象から除外するファイルを指定できるようです。

Excluding Files from Shadow Copies
http://msdn2.microsoft.com/en-us/library/aa819132(VS.85).aspx

Windows Vistaのデフォルトでは、「HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\BackupRestore\FilesNotToSnapshot」キーの内容は以下のように設定されています。

FVE値:$AllVolumes$\System Volume Information\FVE.{9ef82dfa-1239-4a30-83e6-3b3e9b8fed08}
OutlookOST値:$UserProfile$\AppData\Local\Microsoft\Outlook\*.ost
RAC値:%ProgramData%\Microsoft\RAC\*
       %ProgramData%\Microsoft\RAC\StateData\*
       %ProgramData%\Microsoft\RAC\PublishedData\*
WUA値:%windir%\softwaredistribution\*.* /s

ワイルドカード「*」と、サブディレクトリを含めるのに /s オプションが使えるので、変数と組み合わせてテンポラリファイルを対象から除外するとか色々と工夫が出来そうです。
上記キーに新たな値が設定された場合に、既存のシャドウコピーから該当するファイルが除外(削除)されていくのかは、テストしてみないとわかりません。<追記>
FilesNotToSnapshot キーに設定された値に一致したファイルは一度はスナップショット(シャドウ コピー)に含まれますが、その後、自動的にシャドウコピーから削除されますね。(上記URLに書いてあることですが)
で、肝心の過去のシャドウコピーからも削除されるかですが、一晩放置した結果からすると、レジストリが有効だったシャドウコピーから該当ファイルは削除されましたが、レジストリが設定される以前に作成されたシャドウコピーからは削除されていないようです。

<追記20080218>
確認したシャドウコピーセットが違ってました、いったん収納されてから削除されるのか確認できていません。シャドウコピーが出来てすぐに確認できればよいのですが、気がついて確認した段階ではFilesNotToSnapshotキーに設定されたファイルは含まれていない状態になっていて・・・orz