Glossaire
Entrée MFT et numéro de séquence
Le couple qui identifie un fichier NTFS : numéro d'enregistrement dans la MFT et numéro de séquence incrémenté à chaque réutilisation.
NTFS identifie les fichiers par une référence de 64 bits : un numéro d'entrée (enregistrement) MFT sur 48 bits et un numéro de séquence sur 16 bits. Le numéro d'entrée est la position du fichier dans le $MFT ; le numéro de séquence est incrémenté quand l'entrée est libérée puis réutilisée pour un autre fichier. Ensemble, ils distinguent un fichier supprimé du fichier qui occupe désormais son entrée.
Les enregistrements du $LogFile désignent en général une entrée MFT plutôt qu'un nom : résoudre les chemins demande donc le $MFT du même volume. Les entrées d'index de répertoire et les attributs $FILE_NAME portent des références complètes, y compris celle du parent. Un $MFT collecté après le journal peut nommer le mauvais fichier si des entrées ont été réutilisées — comparez les numéros de séquence. Voir Analyser un $LogFile NTFS pas à pas.