Вопрос касательно записей изменений в журнале NTFS USN

Question

Это может быть несколько глупый вопрос, но я нигде не смог найти ответ.Есть ли способ узнать, какая последняя запись в журнале изменений?

Когда мы запускаем запрос FSTCL в первый раз, перечисление всех записей занимает слишком много времени.Есть ли простой способ найти его?

Answer 1

FSCTL_QUERY_USN_JOURNAL возвращает номер USN, который будет использоваться для следующей записи (NextUsn). Последняя запись обычно будет NextUsn минус 1. Для безопасного воспроизведения вы можете использовать FSCTL_ENUM_USN_DATA с фильтрацией USN для поиска NextUsn минус 1, а если ее нет, ищите NextUsn минус 2, затем минус 4 и т. Д.