En un artículo pasado vimos algunas operaciones sobre ficheros que se pueden realizar, por medio de un ejemplo con fechas. En este post, veremos algunas reglas de fecha de los ficheros que podemos crear con la MFT o master file table.
Reglas de fecha de los ficheros
Tenemos la siguiente tabla:
Esta tabla nos permite observar las reglas de fecha de los ficheros $FILE_NAME y $STANDARD_INFO y los cambios presentes en sus diferentes atributos. Estos ficheros pertenecen a la MFT o master file table, una especie de base de datos que contiene información sobre todos los archivos y directorios que se pueden encontrar en una partición.
De modo que las reglas de fecha de los ficheros son las que te detallamos a continuación.
Para el fichero STANDARD INFORMATION
- Cuando cambiamos de nombre, cambian únicamente los metadatos. El resto de fechas, como la de modificado, de acceso y de creación, quedan exactamente iguales, no sufren ninguna alteración.
- Igual que en el caso anterior, cuando vemos el archivo de forma local cambia el campo metadata de standard information.
- Cuando movemos el fichero hacia el mismo volumen, lo único que cambia respecto a las reglas de fecha de los ficheros son los metadatos.
- Cuando movemos el fichero de un volumen a otro, en el file name cambia todo, porque esto significa que lo traemos de un volumen en nuestro disco. Cambia todo porque para el sistema este fichero no estaba y se ha creado. Aun así, las propiedades del standard information, la de modificado y metadata, no cambian, las mantiene en el fichero.
Esto nos va a pasar mucho cuando nos encontremos con algunas diferencias horarias, ya que puede que nos aparezca que en el STANDARD INFORMATION la fecha de modificación fue una cuando el pipeline nos dice que ha sido otra. Aquí es donde tienes que ver en el resto de atributos cuáles han cambiado, porque puede ser posible que esto signifique que ese archivo deriva de un disco estándar. - Algo igual a lo anterior sucede cuando hacemos una copia del fichero.
- Cuando se accede a un fichero, no cambia nada, no se hace ninguna alteración en los datos e información del mismo: la fecha queda igual.
Para el fichero FILE NAME
Cuando se hacen modificaciones en el archivo FILE NAME, las reglas de fecha de los ficheros que se aplican son:
- En el caso de que se tenga que renombrar el archivo, no existe ningún tipo de modificación en los metadatos, el acceso u otra información visible dentro del fichero.
- En el caso de que el fichero se mueva al mismo volumen, sucede como en el caso anterior, donde no hay modificaciones visibles en ningún dato.
- Lo contrario sucede si se mueve el fichero a un volumen distinto, donde la fecha de modificación, la de acceso, la de creación y los metadatos cambian.
- En el caso de que se haga una copia del archivo, ya sea de manera interna dentro del volumen o externa, todos los datos y metadatos de la fecha se ven alterados.
- Como en el fichero STANDARD INFORMATION, si simplemente se accede al archivo, no sucede nada, ninguna fecha se ve alterada.
- Si llegamos a hacerle una modificación de cualquier tipo a nuestro fichero FILE NAME, veremos que las fechas de modificación, de acceso y los metadatos cambian. La única fecha que no cambia es la de creación.
- En caso de que se cree un nuevo fichero, todos los datos se verían modificados, según las reglas de fecha de los ficheros.
- Sucede lo contrario si se elimina el archivo. Al no existir ya en la ubicación, evidentemente no va a haber algún tipo de información sobre la fecha que pueda ser alojada.
¿Cómo aprender más?
Ya hemos visto algunas de las reglas de fecha de los ficheros que se aplican a los ficheros FILE NAME y STANDARD INFORMATION. Si quieres seguir formándote para transformarte en un profesional en áreas de ciberseguridad e informática forense, accede ya a nuestro Ciberseguridad Full Stack Bootcamp y descubre cómo, en muy pocos meses, puedes convertirte en un especialista en el mundillo. ¡Solicita ya mismo más información y empieza a transformar tu futuro!
