| Розподілений (Allocated) |
Запис/об'єкт наразі використовується відповідно до артефакту. |
| Альтернативний потік даних (Alternate Data Stream, ADS) |
Іменовані дані NTFS, прикріплені до файлу на додачу до його звичайного безіменного вмісту, як-от Zone.Identifier. |
| Артефакт (Artifact) |
Постійні дані, створені операційною системою/програмою, які можуть відповісти на криміналістичні запитання. |
| Вирізання (Carving) |
Пошук записів за структурою/сигнатурою без використання їхнього звичайного контейнера/індексу. |
| Набір керування (Control set) |
Версія конфігурації SYSTEM (ControlSet001 тощо); Select\Current вказує активну. |
| Підтвердження (Corroboration) |
Незалежні докази, що підтримують той самий висновок. |
| «Брудна» база даних/кущ (Dirty database/hive) |
Основний файл не був повністю синхронізований на момент збирання; журнали транзакцій можуть містити необхідний стан. |
| Droid |
Схожий на GUID ідентифікатор відстеження розподілених посилань, що використовується для відстеження файлів/томів під час переміщень. |
| ESE / JET Blue |
Формат бази даних Extensible Storage Engine від Microsoft, що використовується SRUM та іншими даними Windows. |
| FILETIME |
Кількість 100-наносекундних інтервалів з 1601-01-01 UTC; число має сенс як час лише тоді, коли так вказує його схема. |
| Посилання на файл (File reference) |
Номер запису NTFS плюс порядковий номер, що ідентифікують покоління запису MFT. |
| Кущ (Hive) |
Двійковий файл, що містить дерево реєстру Windows. |
| Запис INDX (INDX record) |
Блок (зазвичай 4 КіБ) індексу каталогу NTFS ($I30), що перелічує файли каталогу; його slack може зберігати можливі докази видалених або перейменованих імен файлів. |
| LNK |
Shell Link/ярлик Windows, що містить ціль і великий обсяг метаданих. |
| MRU |
Впорядкування за останнім використанням (Most Recently Used); зазвичай це відносний порядок, а не час для кожного елемента. |
| MFT |
Головна файлова таблиця NTFS (Master File Table), що містить записи файлів/каталогів і атрибути. |
| Хеш Prefetch (Prefetch hash) |
Ідентифікатор Windows, що використовується в іменуванні .pf; не криптографічний хеш вмісту. |
| Останній запис ключа реєстру (Registry key last-write) |
Час зміни ключа; Windows зазвичай не вказує, яке саме значення змінилося. |
| Резидентні дані (Resident data) |
Байти файлу/потоку, збережені безпосередньо в атрибуті MFT, а не в зовнішніх фрагментах даних (data runs). |
| RID |
Відносний ідентифікатор (Relative Identifier), останній компонент облікового запису/групи під центром видачі/доменом SID Windows. |
| SDDL |
Security Descriptor Definition Language: дескриптор безпеки, записаний як текст, наприклад O:S-1-5-18D:(A;;0x001f01ff;;;S-1-5-32-544). |
| Дескриптор безпеки (Security descriptor) |
Власник файлу, основна група, DACL (хто що може робити) і SACL (аудит і мітка цілісності). NTFS зберігає кожен окремий дескриптор один раз у $Secure:$SDS під ідентифікатором безпеки. |
| SID |
Ідентифікатор безпеки Windows (Security Identifier) для облікового запису, служби, групи або суб'єкта безпеки. |
| Slack |
Невикористані байти всередині/після розподіленої структури, які можуть зберігати старіші дані. |
| SRUM |
База даних System Resource Usage Monitor про використання ресурсів програмами/користувачами. |
| Timestomping |
Навмисна зміна позначок часу з метою ввести розслідування в оману; евристики не є доказом. |
| Журнал транзакцій (Transaction log) |
Очікувані/зафіксовані зміни, що використовуються для відновлення реєстру або бази даних до узгодженого стану. |
| USN |
Update Sequence Number, що використовується записами журналу змін NTFS і пов'язаними метаданими. |
| UTC |
Всесвітній координований час; бажана спільна основа часу для хронологій кількох систем. |
| Серійний номер тому (Volume serial number) |
Число, яке NTFS присвоює тому під час форматування ($Boot); його молодші 32 біти — це те, що файли LNK, Jump List і Prefetch записують про том файлу. |