Das NTFS-$LogFile sichern: live und post mortem
Das gesperrte NTFS-$LogFile samt $MFT kopieren: Befehle für KAPE, Velociraptor, FTK Imager, RawCopy, icat und ntfscat sowie Prüfungen, ob die Kopie taugt.
Blog
$LogFile, $UsnJrnl oder $MFT: welches NTFS-Artefakt wann
$LogFile, $UsnJrnl:$J und $MFT aus Sicht des Transaktionslogs: was jedes erfasst, wie weit es zurückreicht, was nur das $LogFile belegt, wie man sie verknüpft.
NTFS-$LogFile-Forensik: der vollständige Leitfaden
Was das NTFS-$LogFile protokolliert, wie Seiten und Redo-/Undo-Einträge aufgebaut sind, was es in Ermittlungen belegt, wie man es sichert und wo es endet.