Zeitstempel

Timeline-Analysen bieten Ansatzpunkte, um Vorgänge auf kompromittierten Systemen nachzuvollziehen. Dabei werden sowohl Zeitstempel aus dem Betriebssystem selbst wie auch solche, die durch Artefakte des Betriebssystems oder der Applikationen erstellt worden sind, in die Bewertung mit einbezogen.
Genau deshalb werden Zeitstempel an verschiedenen Orten aufgefunden: Einerseits finden sich im Dateisystem selbst recht ausführliche Zeitstempelinformationen, andererseits enthalten die einzelnen in diesem Dateisystem gespeicherten Dateien sog. Metadaten, die Rückschlüsse auf zeitliche Zusammenhänge zulassen können.

Die modification time, am treffendsten zu übersetzen mit „Zeitpunkt der letzten Änderung“, ist der Zeitpunkt, zu dem eine Datei zum letzten Mal geschrieben wurde; er wird dann aktualisiert, wenn der Inhalt der Datei letztmalig verändert worden ist. Wird die Datei kopiert oder verschoben, ändert das diesen Stempel nicht.

Die acces time ist als Zeitpunkt des letzten Zugangs (accedere „hinschreiten“) der Zeitpunkt, zu dem die Datei zum letzten Mal gelesen oder ausgeführt worden ist. Dieser Zeitstempel wird aktualisiert, wenn Dateiinhalte oder auch Metadaten angezeigt werden.

Speziell Windows verwendet den Zeitstempel der creation time, der den Zeitpunkt der Dateierstellung (creare „erschaffen„) abbildet und bei der Neuerstellung oder der Kopie – nicht aber beim bloßen Verschieben – einer Datei gesetzt wird.