Как определить происхождение файла (doc, xls, pdf) (создан на этом компе или принесли)

@Alexander519151 · Регистрация: 08.05.2013

Author24 — интернет-сервис помощи студентам

Всем привет.
Подскажите, пожалуйста, как определить происхождение файла (doc, xls, pdf)?
Файл был создан на этом компьютере или его принесли на флешке и скопировали на комп?

FlasherX · 15.10.2020, 14:57

По офисным: в свойствах документа на вкладке Подробно в секции Источник можно узнать авторство. Только рассчитывать придётся на разницу имён профилей Windows.

@Alexander519151 · 15.10.2020, 16:58 **[ТС]**

К сожалению, нет.
Файл был создан в ~ 2007 году, на компьютере, Windows 7, Office 2010, редактировался на этом ноутбуке Windows 7, Office 2010 с 2011 года, был перенесён на флешке на комп на работу, редактировался там, сейчас в облаке, т.к. на работе Windows10, Office 2019, свойства открыты на этом ноутбуке Windows 7 office 2010 (см. скрин 1).
Копия файла на hdd на рабочем компе, перенесена на hdd с компа на работе. Свойства открыты на этом ноутбуке Windows 7 Office 2010. (см. скрин 2)
Свойства не очищались, т.к. незачем.

С помощью такого метода ничего нельзя выяснить.
Подскажите, пожалуйста, может в реестре есть след, что расположение файла с флешки. Или программы для показа свойств.
А, вообще, такая информация записывается в файл?

Скрин 1.

Как определить происхождение файла (doc, xls, pdf) (создан на этом компе или принесли)

Скрин 2.

@Alexander519151 · 15.10.2020, 18:16 **[ТС]**

Создал файл на другом ноутбуке, через флешку перенёс на этот ноутбук. В свойствах указан создатель. Это пользователь на втором ноутбуке.
Можно сказать, что такой пользователь был на этом ноутбуке, затем был удалён и сейчас другие данные. При условии, что их не удалили. После удаления свойства чистые.
Нужен, какой-то другой метод.

Добавлено через 1 час 9 минут
Попробовал несколько программ (утилит):
- subinacl
- ещё, там, какая-то была, не помню, уже удалил.
Не суть, т.к. нет нужного результата.
Вывод:
Нельзя узнать такую информацию.
Сам подделывал свойства файла для нужных. Вплоть до перевода времени -> создания файла -> копирование в него содержимого -> в свойствах видим - файл создан: 01.01.1900 (Пн) 00:00
Либо принудительно указывал автора, камеру, фокус ... и т.д.
Думал это, только, внешне, видно, оказывается полностью.

FlasherX · 15.10.2020, 18:24

Сообщение от Alexander519151

А, вообще, такая информация записывается в файл?

См. на вордовский файлах, там как правило есть Авторы и Кем сохранён.

Сообщение от Alexander519151

Нужен, какой-то другой метод.

Только присвоение своих свойств/потоков. А владелец всегда унаследуется от папки родителя, он тут бесполезен.

@ixoyz · 21.10.2020, 10:55

Есть такая штука как аудит файловой системы NTFS. Настраиваете на папках где нужно контролировать, политики, и в случае чего парите журналы безопасности ОС.

Добавлено через 1 минуту
Но это только на будущие случае, что касается старых файлов, там только развитие спека экстрасенсорики поможет.

@Lena-T-1981 · 26.10.2020, 12:51

Сообщение от ixoyz

Но это только на будущие случае

Заранее да. Настроить аудит и политики безопасности. Но если ноутбук с ОС Windows и работает человек в офисных программах, выполняя свою работу, то такого никто не настраивает.
В вашем случае нельзя гарантированно установить истинную подлинность происхождения файла.

@ixoyz · 26.10.2020, 13:36

Я больше скажу, вообще ни одни настройки ни с чем не помогают, если их не делать...

@Alexander519151 461 / 461 / 6 Регистрация: 08.05.2013 Сообщений: 242
		1
	Как определить происхождение файла (doc, xls, pdf) (создан на этом компе или принесли) 15.10.2020, 13:44. Показов 26631. Ответов 7 Метки нет (Все метки) Всем привет. Подскажите, пожалуйста, как определить происхождение файла (doc, xls, pdf)? Файл был создан на этом компьютере или его принесли на флешке и скопировали на комп? 1

FlasherX 6325 / 2752 / 1070 Регистрация: 06.06.2017 Сообщений: 9,353
	15.10.2020, 14:57	2
	По офисным: в свойствах документа на вкладке Подробно в секции Источник можно узнать авторство. Только рассчитывать придётся на разницу имён профилей Windows. 2

@Alexander519151 461 / 461 / 6 Регистрация: 08.05.2013 Сообщений: 242
	15.10.2020, 16:58 [ТС]	3
	К сожалению, нет. Файл был создан в ~ 2007 году, на компьютере, Windows 7, Office 2010, редактировался на этом ноутбуке Windows 7, Office 2010 с 2011 года, был перенесён на флешке на комп на работу, редактировался там, сейчас в облаке, т.к. на работе Windows10, Office 2019, свойства открыты на этом ноутбуке Windows 7 office 2010 (см. скрин 1). Копия файла на hdd на рабочем компе, перенесена на hdd с компа на работе. Свойства открыты на этом ноутбуке Windows 7 Office 2010. (см. скрин 2) Свойства не очищались, т.к. незачем. С помощью такого метода ничего нельзя выяснить. Подскажите, пожалуйста, может в реестре есть след, что расположение файла с флешки. Или программы для показа свойств. А, вообще, такая информация записывается в файл? Скрин 1. Скрин 2. 1

@Alexander519151 461 / 461 / 6 Регистрация: 08.05.2013 Сообщений: 242
	15.10.2020, 18:16 [ТС]	4
	Создал файл на другом ноутбуке, через флешку перенёс на этот ноутбук. В свойствах указан создатель. Это пользователь на втором ноутбуке. Можно сказать, что такой пользователь был на этом ноутбуке, затем был удалён и сейчас другие данные. При условии, что их не удалили. После удаления свойства чистые. Нужен, какой-то другой метод. Добавлено через 1 час 9 минут Попробовал несколько программ (утилит): - subinacl - ещё, там, какая-то была, не помню, уже удалил. Не суть, т.к. нет нужного результата. Вывод: Нельзя узнать такую информацию. Сам подделывал свойства файла для нужных. Вплоть до перевода времени -> создания файла -> копирование в него содержимого -> в свойствах видим - файл создан: 01.01.1900 (Пн) 00:00 Либо принудительно указывал автора, камеру, фокус ... и т.д. Думал это, только, внешне, видно, оказывается полностью. 1

FlasherX 6325 / 2752 / 1070 Регистрация: 06.06.2017 Сообщений: 9,353
	15.10.2020, 18:24	5
	Сообщение от Alexander519151 А, вообще, такая информация записывается в файл? См. на вордовский файлах, там как правило есть Авторы и Кем сохранён. Сообщение от Alexander519151 Нужен, какой-то другой метод. Только присвоение своих свойств/потоков. А владелец всегда унаследуется от папки родителя, он тут бесполезен. 2

@ixoyz 353 / 165 / 61 Регистрация: 01.06.2015 Сообщений: 656
	21.10.2020, 10:55	6
	Сообщение было отмечено Alexander519151 как решение Решение Есть такая штука как аудит файловой системы NTFS. Настраиваете на папках где нужно контролировать, политики, и в случае чего парите журналы безопасности ОС. Добавлено через 1 минуту Но это только на будущие случае, что касается старых файлов, там только развитие спека экстрасенсорики поможет. 2

@Lena-T-1981 5 / 5 / 0 Регистрация: 12.09.2014 Сообщений: 22
	26.10.2020, 12:51	7
	Сообщение от ixoyz Но это только на будущие случае Заранее да. Настроить аудит и политики безопасности. Но если ноутбук с ОС Windows и работает человек в офисных программах, выполняя свою работу, то такого никто не настраивает. В вашем случае нельзя гарантированно установить истинную подлинность происхождения файла. 1

@ixoyz 353 / 165 / 61 Регистрация: 01.06.2015 Сообщений: 656
	26.10.2020, 13:36	8
	Я больше скажу, вообще ни одни настройки ни с чем не помогают, если их не делать... 1

Как определить происхождение файла (doc, xls, pdf) (создан на этом компе или принесли)

Решение