- `Modified Time (M)`: Ce timestamp capture la dernière instance où le contenu du fichier a été modifié. Toute altération des données du fichier, telle que des modifications du contenu, déclenche une mise à jour de ce timestamp. - `Accessed Time (A)`: Ce timestamp reflète la dernière occasion où le fichier a été accédé ou lu, se mettant à jour chaque fois que le fichier est ouvert ou consulté. - `Changed [Change in MFT Record] (C)`: Ce timestamp signifie des changements dans l'enregistrement MFT. Il capture le moment où le fichier a été initialement créé. Cependant, il est important de noter que certains systèmes de fichiers, comme NTFS, peuvent mettre à jour ce timestamp si le fichier est déplacé ou copié. - `Birth Time (b)`: Souvent appelé timestamp de naissance ou de création, il représente le moment précis où le fichier ou l'objet a été créé sur le système de fichiers. Son importance dans les investigations forensic ne doit pas être sous-estimée, notamment pour déterminer le moment de création initiale d'un fichier. --- ### Création de Fichier : - **Modified Timestamp (M)** : Le timestamp de modification est mis à jour pour refléter l'heure de la création du fichier. - **Accessed Timestamp (A)** : Le timestamp d'accès est mis à jour pour refléter que le fichier a été accédé au moment de sa création. - **Birth (Created) Timestamp (b)** : Le timestamp de naissance est défini à l'heure de création du fichier. ### Modification de Fichier : - **Modified Timestamp (M)** : Le timestamp de modification est mis à jour pour refléter l'heure à laquelle le contenu ou les attributs du fichier ont été modifiés pour la dernière fois. - **Accessed Timestamp (A)** : Le timestamp d'accès n'est pas mis à jour lorsque le fichier est modifié. - **Birth (Created) Timestamp (b)** : Le timestamp de naissance n'est pas mis à jour lorsque le fichier est modifié. ### Copie de Fichier : - **Modified Timestamp (M)** : Le timestamp de modification n'est généralement pas mis à jour lorsqu'un fichier est copié. Il hérite habituellement du timestamp du fichier source. - **Accessed Timestamp (A)** : Le timestamp d'accès est mis à jour pour refléter que le fichier a été accédé au moment de la copie. - **Birth (Created) Timestamp (b)** : Le timestamp de naissance est mis à jour à l'heure de la copie, indiquant le moment où la copie a été créée. ### Accès au Fichier : - **Modified Timestamp (M)** : Le timestamp de modification n'est pas mis à jour lorsque le fichier est accédé. - **Accessed Timestamp (A)** : Le timestamp d'accès est mis à jour pour refléter l'heure de l'accès. - **Birth (Created) Timestamp (b)** : Le timestamp de naissance n'est pas mis à jour lorsque le fichier est accédé.