MAC раз - MAC times

MAC раз части файловая система метаданные которые записывают, когда определенные события, относящиеся к компьютерный файл произошло совсем недавно. События обычно описываются как «изменение» (данные в файле были изменены), «доступ» (была прочитана некоторая часть файла) и «изменение метаданных» (были изменены права доступа к файлу или право собственности на него), хотя аббревиатура является производным от структур «mtime», «atime» и «ctime», поддерживаемых Unix файловые системы. Файловые системы Windows не обновляют ctime при изменении метаданных файла[нужна цитата ], вместо этого с использованием поля для записи времени, когда файл был впервые создан, известного как «время создания» или «время рождения». Некоторые другие системы также записывают время рождения файлов, но для этих метаданных нет стандартного имени; ZFS, например, сохраняет время рождения в поле под названием crtime. Время MAC обычно используется в компьютерная криминалистика.[1][2] Название Mactime было первоначально придумано Дэном Фармером, который написал инструмент с таким же названием.[3]

Время модификации (mtime)

Время модификации файла описывает, когда содержимое файла изменялось последним. Поскольку большинство файловых систем не сравнивают данные, записанные в файл, с тем, что уже есть, если программа перезаписывает часть файла теми же данными, которые ранее существовали в этом месте, время модификации будет обновлено, даже если содержимое технически не изменять.

Время доступа (atime)

Время доступа к файлу определяет время последнего открытия файла для чтения. Время доступа обычно обновляется, даже если проверяется только небольшая часть большого файла. Запущенная программа может поддерживать файл как «открытый» в течение некоторого времени, поэтому время, когда файл был открыт, может отличаться от времени, когда данные были считаны из файла в последний раз.

Поскольку некоторые компьютерные конфигурации намного быстрее читают данные, чем записывают их, обновление времени доступа после каждой операции чтения может быть очень дорогостоящим. Некоторые системы снижают эту стоимость, сохраняя время доступа с более грубой детализацией, чем в других случаях; округляя время доступа только до ближайшего часа или дня, файл, который читается повторно за короткий промежуток времени, будет нуждаться в обновлении времени доступа только один раз.[4] В Windows это решается путем ожидания до часа, чтобы сбросить обновленные даты доступа на диск.[5]

Некоторые системы также предоставляют опции для полного отключения обновления времени доступа. В Windows, начиная с Vista, обновление времени доступа к файлу по умолчанию отключено.[6]

Изменить время и время создания (ctime)

Файловые системы Unix и Windows по-разному интерпретируют ctime:

  • Системы Unix поддерживать историческую интерпретацию ctime как времени, когда определенные метаданные файла, не его содержание, были изменены в последний раз, например права доступа или владелец файла (например, "Метаданные этого файла были изменено 05.05.02 12:15 ').
  • Системы Windows используйте ctime для обозначения "времени создания"[нужна цитата ] (также называется "время рождения") (например, "Этот файл был созданный 05.05.02 12:15 ').

Эта разница в использовании может привести к неправильному представлению метаданных времени, когда к файлу, созданному в системе Windows, осуществляется доступ в системе Unix и наоборот.[нужна цитата ] Большинство файловых систем Unix не хранят время создания, хотя некоторые, например HFS +, ZFS, и UFS2 делать. NTFS хранит время создания и время изменения.

Семантика времен создания является источником некоторых противоречий.[нужна цитата ] Одно из мнений состоит в том, что время создания должно относиться к фактическому содержимому файла: например, для цифровой фотографии во время создания будет указано, когда фотография была сделана или впервые сохранена на компьютере. Другой подход заключается в том, что время создания означает, когда был создан сам объект файловой системы, например когда файл фотографии был в последний раз восстановлен из резервной копии или перемещен с одного диска на другой.

Проблемы с метаданными

Как и в случае со всеми метаданными файловой системы, ожидания пользователей относительно времен MAC могут быть нарушены программами, не поддерживающими метаданные. Некоторые утилиты для копирования файлов явно устанавливают время MAC для новой копии, чтобы оно соответствовало времени MAC исходного файла, в то время как программы, которые просто создают новый файл, читают содержимое оригинала и записывают эти данные в новую копию, будут создавать новые файлы, время которых не совпадает с временем оригинала.

Некоторые программы, пытаясь избежать потери данных в случае прерывания операции записи, избегают изменения существующих файлов. Вместо этого обновленные данные записываются в новый файл, а новый файл перемещается для перезаписи оригинала. Эта практика приводит к потере исходных метаданных файла, если программа явно не копирует метаданные из исходного файла. На Windows это не влияет из-за функции временного решения, называемой Туннелирование файловой системы.[7]

Смотрите также

Рекомендации

  1. ^ Луке, Марк Э. (2002). «Анализ логического уровня систем Linux». В Кейси, Э. (ред.). Справочник по расследованию компьютерных преступлений: инструменты и технологии судебной экспертизы. Лондон: Academic Press. С. 182–183. ISBN  0-12-163103-6.
  2. ^ Шелдон (2002). «Криминалистический анализ систем Windows». В Кейси, Э. (ред.). Справочник по расследованию компьютерных преступлений: инструменты и технологии судебной экспертизы. Лондон: Academic Press. С. 134–135. ISBN  0-12-163103-6.
  3. ^ Дэн Фармер (1 октября 2000 г.). "Что такое MACtimes?". Журнал доктора Добба.
  4. ^ "Файловое время". Библиотека Microsoft MSDN.
  5. ^ "Файловое время". Библиотека Microsoft MSDN.
  6. ^ «Отключение времени последнего доступа в Windows Vista для повышения производительности NTFS». Команда хранилищ в Microsoft.
  7. ^ «Windows NT содержит возможности туннелирования файловой системы». Служба поддержки Microsoft.

внешняя ссылка