Glossar
MFT-Eintrag und Sequenznummer
Das Wertepaar, das eine NTFS-Datei identifiziert: die Record-Nummer in der Master File Table und eine Sequenznummer, die bei jeder Wiederverwendung wächst.
NTFS identifiziert Dateien über eine 64-Bit-Dateireferenz: eine 48-Bit-Nummer des MFT-Eintrags (Records) und eine 16-Bit-Sequenznummer. Die Eintragsnummer ist die Position der Datei in der $MFT; die Sequenznummer wird erhöht, wenn der Eintrag freigegeben und später für eine andere Datei wiederverwendet wird. Zusammen unterscheiden sie eine gelöschte Datei von der Datei, die heute ihren Eintrag belegt.
Logeinträge im $LogFile verweisen meist auf einen MFT-Eintrag statt auf einen Namen; um Pfade aufzulösen, braucht es daher die $MFT desselben Volumes. Verzeichnis-Indexeinträge und $FILE_NAME-Attribute tragen vollständige Referenzen, auch die des übergeordneten Ordners. Eine später als das Log gesicherte $MFT kann die falsche Datei benennen, wenn Einträge wiederverwendet wurden – vergleichen Sie die Sequenznummern. Siehe Ein NTFS-$LogFile Schritt für Schritt analysieren.