NTFS Transaction Log ($LogFile)
| Format | NTFS Transaction Log ($LogFile) |
|---|---|
| Kurzname | $LogFile |
| Kategorie | Log |
| Plattformen | Windows |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Das Metadaten-Journal von NTFS: Restart Pages ('RSTR'), gefolgt von Log Record Pages ('RCRD'), die Redo- und Undo-Operationen an MFT-Einträgen, Indizes und Bitmaps beschreiben. Deckt die letzten Minuten bis Stunden der Dateisystemaktivität ab, einschließlich Erstellungen, Umbenennungen und Löschungen.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 52 53 54 52 | RSTR | Signatur der Restart Page 'RSTR' |
| Offset unbekannt | 52 43 52 44 | RCRD | Signatur der Log Record Page 'RCRD' (Pages nach dem Restart-Bereich) |
Bekannte Dateiendungen
Nicht erfasst
Referenzen
- NTFS $LogFile structures — fs/ntfs3/fslog.c (Linux kernel source) https://github.com/torvalds/linux/blob/master/fs/ntfs3/fslog.c
- Finding Forensic Information on Creating a Folder in $LogFile of NTFS (Cho, Rogers — ICDF2C 2011) https://doi.org/10.1007/978-3-642-35515-8_18
Diesen Eintrag zitieren
Crush-Format-Referenz, „NTFS Transaction Log ($LogFile)“. https://kalink0.github.io/crush-forensics/formats/de/logfile/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden