关于NTFS更改日志USN记录的问题

Question regarding NTFS Change Journal USN records

本文关键字：记录 问题 USN 日志 NTFS 关于      更新时间：2023-10-16

这可能是一个有点傻的问题，但我还没有能够找到答案。有没有办法知道变更日志的最后记录是什么?

当我们第一次运行FSTCL查询时，枚举所有记录花费的时间太长。有简单的方法找到它吗?

FSCTL_QUERY_USN_JOURNAL返回将用于下一条记录(NextUsn)的USN。最后一个记录通常是NextUsn - 1。为了安全起见，您可以使用带有USN过滤的FSCTL_ENUM_USN_DATA来查找NextUsn - 1，如果它不存在，则查找NextUsn - 2，然后查找- 4，等等。

相关文章：