| 用途 | 时间戳真伪初判 |
|---|---|
| 对比 | SI 四时间 vs FN 四时间 |
比对思路
比对思路
1) 导出 MFT，取同一文件两组时间
2) SI 明显早于 FN 且与上下文矛盾 → 标记
3) 标记文件按目录聚类，看是否成批出现时间戳可疑是线索，结论仍需结合操作日志与流程。
NTFS 时间戳语义与篡改识别
NTFS 文件有多组时间：$STANDARD_INFORMATION 与 $FILE_NAME，后者更新较难：两者失衡可提示时间戳篡改。
易错点
- 复制粘贴与解压会重写时间，先排除常规形变
- 系统更新也会产生大批时间变化，按目录语境判断
数据来源与参考
- NTFS 技术参考（$SI/$FN 属性）