首页/安全/取证与溯源速查/atime 语义与挂载选项影响
Linux 取证135 条

atime 语义与挂载选项影响

访问时间是否更新取决于挂载选项:noatime 完全不更新,relatime 仅在特定条件更新,strictatime 下每次读取都会记录。

取证与溯源速查安全更新于 2026-10-12
查看mount 输出或 /proc/mounts 中的选项
常见默认多数发行版默认 relatime

检查挂载选项

检查挂载选项
findmnt -no OPTIONS /
mount | grep -E 'noatime|relatime|strictatime'
判断 atime 可信度前先确认该文件系统的挂载参数,再决定它在时间线中的权重。

易错点

  • 容器内看到的挂载选项与宿主机可能不同
  • 把 atime 当读操作证据前先确认挂载策略

数据来源与参考

  • Linux mount man 手册(atime 相关选项)
​‌‌​​‌​​​‌‌​‌‌‌‌​‌‌​​​‌‌​‌‌‌​​‌‌​​‌​‌‌‌​​‌‌‌​​​‌​‌‌​‌​​‌​‌‌‌​​​‌​‌‌​‌​​‌​‌‌​​​‌‌​‌‌‌​‌​​​‌‌​‌‌‌‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌