Журналирование в файловой системе NTFS работает следующим образом: когда файлы, каталоги и другие объекты добавляются, удаляются и изменяются, NTFS вносит записи в журнал изменений в потоках, по одному для каждого тома на компьютере. 4 В каждой записи указывается тип изменения и изменённый объект. 4

NTFS использует опережающее журналирование: она сначала записывает запланированные изменения в системный журнал, и только затем пишет блоки файловой системы в кэш. 1 Когда транзакция завершена, NTFS записывает «контрольную точку», что для данной транзакции не существует больше никаких изменений. 1

Если случился сбой в работе файловой системы, NTFS после перезагрузки начинает просматривать системный журнал на предмет нанесённого ущерба и планировать свои действия по восстановлению. 1 Во-первых, NTFS ищет запись последней контрольной точки. 1 После этого файловая система последовательно выполняет те действия, которые соответствуют следующим за контрольной точкой записям, пока не будет достигнуто последнее известное непротиворечивое состояние системы. 1 Этот процесс занимает несколько секунд и не зависит от размера жёсткого диска. 1