Cómo adquirir el $LogFile de NTFS (en vivo y en frío)
Copiar el $LogFile bloqueado de NTFS y su $MFT: comandos de KAPE, Velociraptor, FTK Imager, RawCopy, icat y ntfscat, y comprobaciones de que la copia sirve.
Blog
$LogFile, $UsnJrnl o $MFT: qué artefacto NTFS y cuándo
$LogFile, $UsnJrnl:$J y $MFT comparados desde el diario de transacciones: qué registra cada uno, cuánto abarca, qué solo prueba el $LogFile y cómo cruzarlos.
Análisis forense del $LogFile de NTFS: la guía completa
Qué registra el $LogFile de NTFS, cómo funcionan sus páginas y registros redo/undo, qué demuestra en una investigación, cómo adquirirlo y dónde se queda corto.