Glossaire
Attribut résident
Un attribut NTFS dont la valeur est stockée dans l'enregistrement FILE lui-même ; les petits fichiers peuvent avoir des données résidentes.
Un attribut NTFS est résident quand sa valeur tient dans l'enregistrement FILE (1 Kio ou 4 Kio), et non résident quand elle est stockée dans des clusters décrits par des runs de données. $STANDARD_INFORMATION et $FILE_NAME sont toujours résidents ; $DATA ne l'est que pour les petits fichiers, typiquement quelques centaines d'octets selon ce que contient déjà l'enregistrement.
C'est important pour le $LogFile, car le journal enregistre les changements des enregistrements FILE. Le contenu d'un petit fichier peut donc apparaître dans une image d'enregistrement FILE ou une création d'attribut du journal, même après la suppression du fichier. C'est opportuniste : sur les Windows récents, les modifications ultérieures de données résidentes sont en général journalisées sans leur contenu. Voir Retrouver les traces de fichiers supprimés.