权威的 Windows 文件创建日期

Question

寻找一种方法来验证 Windows NTFS 系统上文件的年龄（创建日期和最后修改日期），特别是比标准 Windows 文件时间/日期戳更不易被操纵的方法。

据我所知，除非有可追溯的备份历史，否则这是不可能的，但希望其他人可能有线索或想法？或者，如果需要法医调查，可能需要哪些类型的工具（或转介给旧金山湾区的法医调查员）。

有问题的用例是能够证明旧 Windows 7 计算机上的一组特定文件是在每个文件的“文件创建”日期指定的时间创建的。

Answer 1

NTFS 具有用于跟踪卷的所有更改的 USN 日志。据我所知，它通常在 Windows 7 上被禁用 - 但您可以随时检查。

每个更改都记录在包含更改类型和更改对象的记录中。

您可以使用“fsutil usn”工具管理和查询USN

https://technet.microsoft.com/en-us/library/cc788042.aspx