從NTFS文件系統中進行數據恢復，恢復被刪除的文件比大多數文件系統都要容易。在NTFS中，文件被刪除時，從其父目錄的索引中移除它的文件名，取消MFT項的分配，取消簇的分配。Microsoft只是做了這些操作而并沒有刪除任何指針。
NTFS中對恢復最為不利的因素是，當文件名從文件的父目錄索引中移除時，索引會重新進行整理，被刪除文件的文件名信息就會丟失。因此，在恢復的時候你很可能在原來的目錄下看不到被刪除的文件。但問題也并不是非常嚴重，因為可以找到MFT項，所有被取消分配的MFT項都很容易被找到。每個項中都會有一個效件名屬性($FILE_NAME)，它帶有父目錄的文件參考號。因此，只要找到了被取消分配的MFT項，就可以獲知它的完整路徑，除非父目錄已經重新分配給了新的文件或目錄。
要恢復NFTS文件系統中所有被刪除了的文件，可以搜索所有被取消分配的MFT項，找到后，根據項中的文件名屬性($FILE_NAME)和父目錄的文件參考號確定文件的名字和原路徑。簇指針也應該完好地存在，如果文件內容還沒有被覆蓋，就可以完好地恢復出來。即使文件嚴重片段化，有多個文件碎片也并不影響恢復。
如果屬性值為常駐屬性，在MFT被重新分配前，數據是不會被覆蓋掉的。
如果文件需要不只一個MFT項存儲它的屬性，就需要對其他的MFT壩’陝復。
Windows分配MFT項時使用第一可用分配策略，因此低號碼MFT項比高號碼MFT項更容易被重新分配出去而造成覆蓋。
數據恢復文件或對刪除的文件進行分析時，通過文件系統日志或變化日志可能會找到一些最近發生的情況的記錄。變化日志并不總是開啟的，但它會提供最后文件被刪除或改變的相關信息。