| Allocated (จัดสรรแล้ว) |
เรคคอร์ด/อ็อบเจกต์กำลังใช้งานอยู่ตามที่อาร์ติแฟกต์ระบุ |
| Alternate Data Stream (ADS) |
ข้อมูล NTFS ที่มีชื่อซึ่งแนบอยู่กับไฟล์ นอกเหนือจากเนื้อหาปกติที่ไม่มีชื่อ เช่น Zone.Identifier |
| Artifact (อาร์ติแฟกต์) |
ข้อมูลที่คงอยู่ซึ่งระบบปฏิบัติการ/แอปพลิเคชันสร้างขึ้น และสามารถใช้ตอบคำถามทางนิติวิทยาศาสตร์ได้ |
| Carving (การกู้คืนแบบ carving) |
การค้นหาเรคคอร์ดจากโครงสร้าง/ลายเซ็น โดยไม่พึ่งพาคอนเทนเนอร์/ดัชนีปกติของเรคคอร์ดนั้น |
| Control set |
เวอร์ชันหนึ่งของการกำหนดค่า SYSTEM (ControlSet001 ฯลฯ) โดย Select\Current ระบุ control set ที่ใช้งานอยู่ |
| Corroboration (การยืนยันประกอบ) |
หลักฐานที่เป็นอิสระต่อกันซึ่งสนับสนุนข้อสรุปเดียวกัน |
| Dirty database/hive (ฐานข้อมูล/ไฮฟ์ในสถานะ dirty) |
ไฟล์หลักยังไม่ได้ซิงโครไนซ์อย่างสมบูรณ์ ณ เวลาที่เก็บรวบรวม บันทึกธุรกรรมอาจเก็บสถานะที่จำเป็นไว้ |
| Droid |
ตัวระบุ distributed-link-tracking ลักษณะคล้าย GUID ที่ใช้ติดตามไฟล์/วอลุ่มเมื่อมีการย้าย |
| ESE / JET Blue |
รูปแบบฐานข้อมูล Extensible Storage Engine ของ Microsoft ซึ่ง SRUM และข้อมูลอื่นของ Windows ใช้ |
| FILETIME |
จำนวนช่วงเวลา 100 นาโนวินาทีนับตั้งแต่ 1601-01-01 UTC ตัวเลขจะมีความหมายเป็นเวลาก็ต่อเมื่อ schema ระบุไว้เช่นนั้น |
| File reference |
entry number ของ NTFS รวมกับ sequence number ซึ่งระบุรุ่น (generation) ของเรคคอร์ด MFT |
| Hive (ไฮฟ์) |
ไฟล์ไบนารีที่เก็บโครงสร้างต้นไม้ของ Windows Registry |
| INDX record |
บล็อก (โดยปกติ 4 KiB) ของดัชนีไดเรกทอรี NTFS ($I30) ที่แสดงรายการไฟล์ในไดเรกทอรี slack ของบล็อกนี้อาจเก็บหลักฐานที่เป็นไปได้ของชื่อไฟล์ที่ถูกลบหรือเปลี่ยนชื่อ |
| LNK |
Windows Shell Link/ทางลัดที่มีเป้าหมายและเมทาดาทาจำนวนมาก |
| MRU |
ลำดับ Most Recently Used (ใช้ล่าสุด) โดยปกติเป็นลำดับสัมพัทธ์ ไม่ใช่เวลาของทุกรายการ |
| MFT |
Master File Table ของ NTFS ซึ่งมีเรคคอร์ดและแอตทริบิวต์ของไฟล์/ไดเรกทอรี |
| Prefetch hash |
ตัวระบุของ Windows ที่ใช้ในการตั้งชื่อ .pf ไม่ใช่แฮชเชิงการเข้ารหัสของเนื้อหา |
| Registry key last-write |
เวลาที่คีย์เปลี่ยนแปลง โดยปกติ Windows ไม่ได้บอกว่าค่าใดเปลี่ยน |
| Resident data |
ไบต์ของไฟล์/สตรีมที่จัดเก็บโดยตรงในแอตทริบิวต์ของ MFT แทนที่จะอยู่ใน data run ภายนอก |
| RID |
Relative Identifier ส่วนประกอบสุดท้ายของบัญชี/กลุ่มภายใต้ authority/โดเมนของ Windows SID |
| SDDL |
Security Descriptor Definition Language: ตัวบอกความปลอดภัยที่เขียนในรูปข้อความ เช่น O:S-1-5-18D:(A;;0x001f01ff;;;S-1-5-32-544) |
| Security descriptor (ตัวบอกความปลอดภัย) |
เจ้าของ กลุ่มหลัก DACL (ใครทำอะไรได้บ้าง) และ SACL (การตรวจสอบและ integrity label) ของไฟล์ NTFS เก็บตัวบอกที่แตกต่างกันแต่ละตัวไว้เพียงครั้งเดียวใน $Secure:$SDS ภายใต้ security ID |
| SID |
Windows Security Identifier สำหรับบัญชี บริการ กลุ่ม หรือ security principal |
| Slack |
ไบต์ที่ไม่ได้ใช้ภายใน/ถัดจากโครงสร้างที่จัดสรรแล้ว ซึ่งอาจเก็บข้อมูลเก่าไว้ |
| SRUM |
ฐานข้อมูล System Resource Usage Monitor ของการใช้ทรัพยากรโดยแอปพลิเคชัน/ผู้ใช้ |
| Timestomping |
การแก้ไข timestamp โดยเจตนาเพื่อทำให้การตรวจสอบเข้าใจผิด การใช้ heuristic ไม่ใช่หลักฐานยืนยัน |
| Transaction log (บันทึกธุรกรรม) |
การเปลี่ยนแปลงที่รอดำเนินการ/commit แล้ว ซึ่งใช้กู้คืนรีจิสทรีหรือฐานข้อมูลให้อยู่ในสถานะที่สอดคล้องกัน |
| USN |
Update Sequence Number ที่ใช้ในเรคคอร์ด change journal ของ NTFS และเมทาดาทาที่เกี่ยวข้อง |
| UTC |
Coordinated Universal Time ฐานเวลาร่วมที่แนะนำสำหรับไทม์ไลน์ข้ามระบบ |
| Volume serial number |
หมายเลขที่ NTFS กำหนดให้วอลุ่มเมื่อฟอร์แมต ($Boot) บิตต่ำ 32 บิตคือค่าที่ไฟล์ LNK, Jump List และ Prefetch บันทึกไว้สำหรับวอลุ่มของไฟล์ |