Atributo residente

Un atributo NTFS es residente cuando su valor cabe dentro del registro FILE (1 KiB o 4 KiB), y no residente cuando se guarda en clústeres descritos por data runs. $STANDARD_INFORMATION y $FILE_NAME son siempre residentes; $DATA solo lo es en archivos pequeños, normalmente de unos cientos de bytes según lo que más contenga el registro.

Esto importa para $LogFile porque el diario registra los cambios en los registros FILE. Por eso el contenido de un archivo pequeño puede aparecer en una imagen de registro FILE o en una creación de atributo del diario, incluso después de borrarse el archivo. Es cuestión de suerte: en Windows moderno, las modificaciones posteriores de datos residentes suelen registrarse sin su contenido. Consulta recuperar evidencias de archivos borrados del $LogFile.