通常情况下,“所有者”是创建者,但由于用户是管理员组的一部分,因此所有管理员都拥有对其的所有者权限(这样,当管理员离开组织时,文件系统上没有孤立的文件,没有人但root可以删除等).对于Windows本身而言,这不是一个问题,就像NTFS一样 – 而且额外的创建者字段会很好.如果您需要进行更多的取证分析,专有数据格式(办公室：.doc(x),.xls(x)等)通常会在其中包含一些关于谁创建它们的元数据.为此,值得注意的是Office 2007格式只是压缩的xml文件和目录(将文件扩展名更改为.zip或…使用您选择的gunzip程序打开)