关于NTFS更改日志USN记录的问题

Question

这可能是一个有点傻的问题，但我还没有能够找到答案。有没有办法知道变更日志的最后记录是什么?

当我们第一次运行FSTCL查询时，枚举所有记录花费的时间太长。有简单的方法找到它吗?

Answer 1

FSCTL_QUERY_USN_JOURNAL返回将用于下一条记录(NextUsn)的USN。最后一个记录通常是NextUsn - 1。为了安全起见，您可以使用带有USN过滤的FSCTL_ENUM_USN_DATA来查找NextUsn - 1，如果它不存在，则查找NextUsn - 2，然后查找- 4，等等。