Mit Powershell Alternative NTFS-Datenströme lesen (und schreiben)

Alternative Datenströme sind eine erweiterte Funktion des NTFS-Dateisystems, die es erlaubt, beliebige Meta-Informationen über Dateien zusammen mit der Datei abzulegen. Windows verwendet z.B. einen Alternativen Datenstrom, um das MotW (Mark of the Web) zu speichern. Das MofW wird beim Download einer Datei automatisch gesetzt, damit Windows Sicherheitskomponenten wie der Windows Defender Antivirus oder Windows Smartscreen eine unsichere Datei erkennen können.

Alternative Datenströme werden mit dem Cmdlet Get-Content angezeigt . Jeder alternative Datenstrom hat dabei einen Namen, den man kennen muss, um ihn abzurufen. Für das MotW nennt er sich Zone.Identifier. Der Name wird über den Parameter -Stream übergeben. 

Get-Content -Path $home\downloads\DateiAusDemInternet.zip -Stream Zone.Identifier 

Um alle verfügbaren Datenströme aufzulisten, kann man stattdessen Get-Item mit dem Parameter -Stream benutzen. Get-Item zeigt dann Informationen über einen Stream an. Verwendet man * als Platzhalter, bekommt man alle Datenströme ausgegeben. 

Get-Item -Path $home\downloads\DateiAusDemInternet.zip -Stream * 

Mit Add-Content kann man auch eigene Werte zum Datenstrom hinzufügen. Die Daten werden über den Parameter -Value angegeben. Im folgenden Beispiel wird das genutzt, um eine Datei mit einem Tag (Marker) zu versehen, der angibt, um was für einen Typ von Datei es sich handelt. Es gibt dafür vielfältige Anwendungsmöglichkeiten. 

$File = $home\downloads\DateiAusDemInternet.zip
Add-Content -Path $File -Stream Tag -Value Tool 

Entfernen kann man alternative Datenströme mit Remove-Item. Für das MotW geht das noch einfacher, denn Unblock-File erledigt das direkt. 

Remove-Content -Path $File -Stream Tag
Unblock-File -Path $File