だからぁ、マスターファイルテーブル（MFT）を読んでるんでしょ
tibファイルにはMFTのスナップショットが含まれていて変更箇所を検知してるんだと思うよ