アンタイ・フォレンジック妖怪の独り言

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

作成日時

Windows における“作成日時”は、ファイルシステム上でそのファイルが作成された日時を示していて、純粋にそのファイルが作成された日時とは異なります。ファイルがコピーや移動されたりした時に、異なるファイルシステム上に新たに作成されるとその作成日時が入ります。
この為、作成日時より更新日時のほうが“古い”という現象が発生しますが、作成日時が更新日時より新しい場合には、更新日時以前にそのファイルはどこか別のファイルシステム上で作成されていたとかそいうことですかね。もしくはタイムスタンプが変更されているとか...