| مخصص (Allocated) |
السجل/الكائن قيد الاستخدام حاليًا وفقًا للأثر الرقمي. |
| دفق البيانات البديل (Alternate Data Stream أو ADS) |
بيانات NTFS مسماة مرفقة بملف إلى جانب محتواه العادي غير المسمى، مثل Zone.Identifier. |
| الأثر الرقمي (Artifact) |
بيانات دائمة ينتجها نظام تشغيل/تطبيق ويمكنها الإجابة عن أسئلة جنائية. |
| الاستخراج (Carving) |
العثور على السجلات من خلال بنيتها/توقيعها دون الاعتماد على حاويتها/فهرسها المعتاد. |
| مجموعة التحكم (Control set) |
نسخة من تكوين SYSTEM (ControlSet001، إلخ)؛ ويسمّي Select\Current المجموعة النشطة. |
| التعزيز (Corroboration) |
أدلة مستقلة تدعم الاستنتاج نفسه. |
| قاعدة بيانات/خلية غير متسقة (Dirty) |
لم يكن الملف الأساسي متزامنًا بالكامل عند جمعه؛ وقد تحتوي سجلات المعاملات على حالة مطلوبة. |
| Droid |
معرّف شبيه بـ GUID لتتبع الروابط الموزعة، يُستخدم لتتبع الملفات/وحدات التخزين عبر عمليات النقل. |
| ESE / JET Blue |
تنسيق قاعدة بيانات محرك التخزين القابل للتوسيع (Extensible Storage Engine) من Microsoft، الذي يستخدمه SRUM وبيانات Windows أخرى. |
| FILETIME |
عدد الفترات البالغة 100 نانوثانية منذ 1601-01-01 UTC؛ ولا يكون للرقم معنى زمني إلا عندما ينص مخططه على ذلك. |
| مرجع الملف (File reference) |
رقم إدخال NTFS مضافًا إليه رقم التسلسل، ويحدد جيلًا من سجل MFT. |
| الخلية (Hive) |
ملف ثنائي يحتوي على شجرة من سجل Windows. |
| سجل INDX |
كتلة (عادةً 4 KiB) من فهرس مجلد NTFS ($I30) تسرد ملفات المجلد؛ وقد تحتفظ مساحتها الراكدة (slack) بأدلة محتملة على أسماء ملفات محذوفة أو أُعيدت تسميتها. |
| LNK |
رابط Windows Shell/اختصار يحتوي على هدف وبيانات وصفية واسعة. |
| MRU |
ترتيب العناصر المستخدمة مؤخرًا (Most Recently Used)؛ وهو عادةً ترتيب نسبي لا وقت لكل عنصر. |
| MFT |
جدول الملفات الرئيسي في NTFS، ويحتوي على سجلات الملفات/المجلدات وسماتها. |
| تجزئة Prefetch |
معرّف يستخدمه Windows في تسمية ملفات .pf؛ وليس تجزئة تشفيرية للمحتوى. |
| آخر كتابة لمفتاح سجل Windows |
وقت تغيّر المفتاح؛ ولا يذكر Windows عادةً أي قيمة تغيرت. |
| البيانات المقيمة (Resident data) |
بايتات ملف/دفق مخزنة مباشرة في سمة MFT بدلًا من مقاطع بيانات خارجية (data runs). |
| RID |
المعرّف النسبي (Relative Identifier)، وهو المكوّن الأخير للحساب/المجموعة تحت سلطة/مجال SID في Windows. |
| SDDL |
لغة تعريف واصفات الأمان (Security Descriptor Definition Language): واصف أمان مكتوب كنص، مثل O:S-1-5-18D:(A;;0x001f01ff;;;S-1-5-32-544). |
| واصف الأمان (Security descriptor) |
مالك الملف، والمجموعة الأساسية، وDACL (من يحق له فعل ماذا) وSACL (التدقيق وتسمية السلامة). ويحتفظ NTFS بكل واصف مميز مرة واحدة في $Secure:$SDS، تحت معرّف أمان. |
| SID |
معرّف الأمان (Security Identifier) في Windows لحساب أو خدمة أو مجموعة أو كيان أمان. |
| المساحة الراكدة (Slack) |
بايتات غير مستخدمة داخل بنية مخصصة/بعدها يمكن أن تحتفظ ببيانات أقدم. |
| SRUM |
قاعدة بيانات مراقب استخدام موارد النظام (System Resource Usage Monitor) لاستخدام الموارد من قِبل التطبيقات/المستخدمين. |
| التلاعب بالطوابع الزمنية (Timestomping) |
تعديل متعمد للطوابع الزمنية لتضليل التحقيق؛ والأساليب الاستدلالية ليست دليلًا. |
| سجل المعاملات (Transaction log) |
تغييرات معلّقة/مُلتزَم بها تُستخدم لاستعادة سجل Windows أو قاعدة بيانات إلى حالة متسقة. |
| USN |
رقم تسلسل التحديث (Update Sequence Number) الذي تستخدمه سجلات دفتر يومية التغييرات في NTFS والبيانات الوصفية ذات الصلة. |
| UTC |
التوقيت العالمي المنسق؛ الأساس الزمني المشترك المفضل للجداول الزمنية عبر عدة أنظمة. |
| الرقم التسلسلي لوحدة التخزين (Volume serial number) |
رقم يمنحه NTFS لوحدة التخزين عند تهيئتها ($Boot)؛ وبتاته الـ 32 الدنيا هي ما تسجله ملفات LNK وJump Lists وPrefetch عن وحدة تخزين الملف. |