Glosario
Entrada de la MFT y número de secuencia
El par que identifica un archivo NTFS: el número de registro en la Master File Table y un número de secuencia que aumenta cada vez que se reutiliza el registro.
NTFS identifica los archivos con una referencia de archivo de 64 bits: un número de entrada (registro) de la MFT de 48 bits y un número de secuencia de 16 bits. El número de entrada es la posición del archivo en el $MFT; el número de secuencia se incrementa cuando la entrada se libera y después se reutiliza para otro archivo. Juntos distinguen un archivo borrado del archivo que ocupa ahora su entrada.
Los registros del $LogFile suelen apuntar a una entrada de la MFT y no a un nombre, así que para resolver rutas hace falta el $MFT del mismo volumen. Las entradas de índice de directorio y los atributos $FILE_NAME llevan referencias completas, incluida la del padre. Un $MFT adquirido después que el diario puede dar el nombre de un archivo equivocado si se reutilizaron entradas: compara los números de secuencia. Consulta cómo analizar un $LogFile de NTFS.