Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Français
Entry № 001

$UsnJrnl ($J)

Qu'est-ce que $UsnJrnl ($J) ?

$UsnJrnl ($J)Journal des numeros de sequence de mise a jour de NTFS qui enregistre chaque operation du systeme de fichiers et fournit aux forensiques une frise chronologique a haute resolution.

Le $UsnJrnl est un fichier sparse situe sous le repertoire de metadonnees NTFS $Extend\$UsnJrnl ; le flux operationnel $J contient les enregistrements USN individuels et $Max stocke les metadonnees du journal. Chaque enregistrement contient le nom du fichier, la reference au parent, les drapeaux USN (FILE_CREATE, RENAME_NEW_NAME, DATA_OVERWRITE, FILE_DELETE, etc.) et un horodatage. Comme le journal trace tous les changements du volume, les analystes peuvent reconstituer le cycle de vie des outils d'attaque meme si les binaires ont ete supprimes : depot, staging, compression et suppression laissent tous des traces USN. L'analyseur $J de MFTECmd produit des frises CSV exploitables en super-timeline avec Plaso ou Timeline Explorer.

● Exemples

  1. 01

    Reconstituer comment un attaquant a cree, renomme puis zippe un dossier de staging avant exfiltration.

  2. 02

    Detecter l'activite d'un wiper a travers une rafale de FILE_DELETE sur des chemins critiques.

● Questions fréquentes

Qu'est-ce que $UsnJrnl ($J) ?

Journal des numeros de sequence de mise a jour de NTFS qui enregistre chaque operation du systeme de fichiers et fournit aux forensiques une frise chronologique a haute resolution. Cette notion relève de la catégorie Forensique et réponse en cybersécurité.

Que signifie $UsnJrnl ($J) ?

Journal des numeros de sequence de mise a jour de NTFS qui enregistre chaque operation du systeme de fichiers et fournit aux forensiques une frise chronologique a haute resolution.

Comment fonctionne $UsnJrnl ($J) ?

Le $UsnJrnl est un fichier sparse situe sous le repertoire de metadonnees NTFS $Extend\$UsnJrnl ; le flux operationnel $J contient les enregistrements USN individuels et $Max stocke les metadonnees du journal. Chaque enregistrement contient le nom du fichier, la reference au parent, les drapeaux USN (FILE_CREATE, RENAME_NEW_NAME, DATA_OVERWRITE, FILE_DELETE, etc.) et un horodatage. Comme le journal trace tous les changements du volume, les analystes peuvent reconstituer le cycle de vie des outils d'attaque meme si les binaires ont ete supprimes : depot, staging, compression et suppression laissent tous des traces USN. L'analyseur $J de MFTECmd produit des frises CSV exploitables en super-timeline avec Plaso ou Timeline Explorer.

Comment se défendre contre $UsnJrnl ($J) ?

Les défenses contre $UsnJrnl ($J) combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Quels sont les autres noms de $UsnJrnl ($J) ?

Noms alternatifs courants : UsnJrnl, Journal des changements, $J.

● Termes liés

● Voir aussi