windows系统的时间属性及系统时间的修改.docxVIP

windows系统的时间属性及系统时间的修改 0 本地主机的时间属性 在计算机上使用它会附包含许多信息的信息，时间交叉就是一个重要信息。例如,文件有创建事件、修改时间和访问时间等信息。通过对时间的查看和分析,可以推断出很多操作过程。正是由于时间信息隐含的重要意义,很多嫌疑人会对时间这个重要属性做修改。单纯地修改文件的时间属性很容易被发现,但是如果修改了系统时间,那么本地主机里很多信息就会发生变化,如文档或文件属性里的修改时间、访问时间等信息就会被改变,影响对事件真实性的判断。 在本地主机的操作事件中,比较关心的有开机、关机、修改系统时间等事件,因为所有的操作都发生在开机之后关机之前,这是两个基本的时间点。如果想知道某台计算机在某段时间内是否有某些操作行为,可以查看这台计算机的开关机时间;如果活动不在其开机时间段内,则直接排除使用这台计算机的可能。 如果系统时间做了修改,而不是调整到正确的时间,那么修改时间的操作者就必然有其特殊的目的,因此与之相应的这些事件就成为比较关心的问题。 1 系统日志记录 Windows操作系统日志主要包括应用程序日志、安全日志和系统日志3个部分。其中应用程序日志记录由应用程序产生的事件;安全日志记录与安全相关的事件,包括有效或无效登录、系统资源使用情况等;系统日志记录由Windows操作系统组件产生的事件,主要包括驱动程序、系统组件和应用软件的崩溃以及数