10ではアクセス日時の更新設定が変わり、一部の環境では既定で更新するようになりました。10を含め、現状のファイル/フォルダに対する様々な操作による更新状況を確認してみました。以下が自環境での検証結果です。表内の値は以下を示します。環境、対象によってはその処理時点にセットするヘッダ内は以下のように省略表記しています。$FILE_NAME属性SANSのPosterやCyberForensicator.comで紹介されている内容とも類似しますが、上の表ではフォレンジックツールの表示にあわせて、タイムスタンプを列単位にしています。MACEの名称で扱うことも多いですが、ここではX-Waysの表記にあわせています。検証結果をまとめると、各タイムスタンプの基本的な考え方は以下の通りです。原則はそのファイルシステム上で作成された日時を示す。別ボリュームから移動されたファイルは、移動方法によっては元ファイルシステムでの作成日時を示す。圧縮ファイルから展開すると、展開ツールによっては更新日時を作成日時にセットする。コンテンツが最後に更新された日時を示す。別ボリュームからのファイル移動、ファイルコピー、圧縮ファイルの展開等では元の値を維持する傾向にあるが、処理方法によっては処理時点に更新される。フォルダは配下のファイル作成、更新、削除などの処理によって処理時点に更新される。メタデータが最後に更新された日時を示す。様々な処理によって更新される傾向にあるが、別ボリュームからのファイル移動、ファイルコピーについては環境によって元の値を維持することがある。最後に参照された日時を示すが、環境によって更新の有効/無効が異なり、無効の場合は参照しただけで更新することはない。この設定の有効/無効に関わらず、参照以外の様々な処理によって更新される傾向にある。圧縮ファイルから展開すると、展開ツールによっては更新日時をアクセス日時にセットする。SIのような意味合いを持たない。処理によっていずれも変化がないか全種類更新される傾向にある。ファイル名の変更やボリューム内移動で(SI)の各タイムスタンプがセットされる点は特徴的といえる。以降では、確認した一部の挙動について紹介します。Invoke-WebRequest(PowerShell)でファイルをダウンロードした際のタイムスタンプは以下の通りでした。Accessed(SI)が設定されていることがわかります。Changed(SI)が設定され、さらにその後にAccessed(SI)が設定されています。(FN)のタイムスタンプは後述のRenameの影響を受けているように見えます。Modificationファイルの更新は、基本的に対応するアプリケーションでファイルをオープンしてから編集、上書き保存、という流れが一般的です。更新方法はアプリケーションの実装に依存しますが、ここではメモ帳とLibreOfficeで確認した結果を記載します。メモ帳起動後に最初にファイルを保存し、文章を入力してから保存した際のタイムスタンプは以下の通りでした。Accessed(SI)が更新されています。次にLibreOfficeです。Writer起動後に新規作成し終了します。Writerを起動してから文章を入力し保存した際のタイムスタンプは以下の通りでした。Modified(SI)以外のタイムスタンプが更新されています。Accessed(SI)が更新されていまが、加えて(FN)のタイムスタンプも更新されています。そのうち、Created(FN)についてはCreated(SI)が設定されています。(7zip)ダウンロードしたzipファイルと7-zipで展開した後のファイルのタイムスタンプは以下の通りでした。zip展開後のファイルは元のModified(SI)の値が引き継がれ、その値がCreated(SI)とAccessed(SI)にも設定されています。Changed(SI)と(FN)のタイムスタンプは展開時点に設定されています。Renamerenameコマンドでファイル名を変更した際のタイムスタンプは以下の通りでした。元ファイルの(SI)の各タイムスタンプが、(FN)の対応するタイムスタンプに設定されていることがわかります。7の時にも確認していましたが、(SI)と(FN)のタイムスタンプが同じままでは気づかないため、検証時にはファイルのタイムスタンプが同値にならないように気をつける必要があります。LibreOfficeの検証でボリューム間移動を加えたのは、(SI)と(FN)の作成日時を一致させないためでした。8以上ではbitsadminコマンドでもリモートのファイルを取得することができます。<ダウンロード先>取得したファイルのタイムスタンプは以下の通りでした。Changed(FN)に実行時点の値に設定されますが、それ以外のタイムスタンプにはModified(SI)の値が設定されています。2のような最終アクセスの更新が有効な環境では、Explorerでファイルを選択(クリック)するだけでもアクセスの処理となりAccessが更新されます。一定時間内の複数回のアクセスなどは反映されないなどの条件があるため、注意が必要です。7と8以上で挙動が変わったり、コマンドプロンプトとExplorerで挙動が変わったり、標準のzip展開機能と7-zipで挙動が変わったり...という状況のため、この処理では必ずこうなる、という考え方は避けた方が良いように思います。件名コメントテキストフォーマットについてプレーンテキストHTMLタグは利用できません。行と段落は自動的に折り返されます。ウェブページのアドレスとメールアドレスは自動的にリンクに変換されます。