Лекция_4_Анализ_временных_отметок

1. Компьютерная криминалистика

КОМПЬЮТЕРНАЯ
КРИМИНАЛИСТИКА
Лекции 4. Следы работы с файлами,
временные отметки
© Князева Н.С., 2026

2.

2
Ретроспективный анализ
Ретроспективный анализ файловой системы — восстановление
последовательности пользовательских действий и/или системных событий
путем исследования метаданных файловой системы.
Внешние
временные отметки
Внутренние
временные отметки
Файл
Дополнительные
временные отметки
Файлы
реестра
Журналы
событий
Журнал
транзакц
ий
…

3.

3
Форматы представления временных отметок
Формат отсчетов
T = T0 + Q x ВО
T – момент времени,
T0 – зафиксированный для данного типа временной отметки начальный момент
времени,
Q – зафиксированный для данного типа временной отметки размер промежутка
времени (квант времени),
ВО (хранимая временная отметка) – количество квантов времени Q,
прошедших с начального момента времени T0.
Например:
(01 D3 A0 A2 5C 30 62 EA)16 = (131625433315697386)10
T = 00:00:00.00 1 января 1601 года + 100нс x 131625433315697386

4.

4
Форматы представления временных отметок
Формат отсчетов
T = T0 + Q x ВО
Место хранения
T0
Q
NTFS
(таблица MFT)
00:00:00.00
1 января 1601 года
100 нс
NTFS
(GUID ярлыков)
00:00:00.00
15 октября 1582 года
100 нс
HFS+, ext*fs
00:00:00.00
1 января 1970 года
1c

5.

5
Форматы представления временных отметок
Текстовый формат