Можно ли узнать, был ли факт чтения данных с внешнего HDD?

Question

[Developer]

Есть внешний HDD 2.5", Seagate 1TB (Backup Plus Portable Drive).
В какой-то момент времени оставил винт без присмотра и кто-то мог подключиться и прочитать оттуда данные.
Подскажите, можно ли как-то определить факт подключения диска к компу и чтения оттуда данных?
Речь об обычных юзерах, не хакерах.

Comments

[Developer]

John Smith, есть что по теме сказать?
Файлы частично зашифрованы, но это не суть.
Читай суть вопроса.

[Developer]

John Smith, вот теперь спасибо, помог

Answer 1

[15432]

Да, по S.M.A.R.T. параметру 0C, диск считает количество включений/выключений, если вы знаете, сколько было на момент, когда оставили, то посмотрев снова, вы точно сможете сказать, что диск подключали к компьютеру:

Comments

[Владимир Коротенко]

Знал бы где упасть подстелил бы соломки.
Так как узнать сколько их было до?

[Developer]

Вот да. У меня нет информации о состоянии диска ДО проблемного момента

[15432]

можно узнать о факте подключения диска к конкретному ПК, в реестре винды инфо остаётся.

Answer 2

[Рональд Макдональд]

Да, по свойствам файла или каталога, NTFS фиксирует время последнего доступа.

Comments

[Developer]

Можно подробнее? Где, что, чем и как читать?
Винт я пока не подключал к компу, чтобы ненароком не затереть предыдущие данные

[Владимир Коротенко]

Developer, Берете флешку с линуксом. Монтируете систему в режиме RO и смотрите время доступа.

man find

-atime n

True if the file was accessed n days ago. The access time of directories in path is changed by find itself.
-cmin n

File's status was last changed n minutes ago.

-ctime n

True if the file's status was changed n days ago.

[Developer]

Владимир Коротенко, спасибо.
У меня есть второй ноут, там чистый линукс, убунта