$UsnJrnl ($J).

NTFS の更新シーケンス番号変更ジャーナル。あらゆるファイルシステム操作を記録し、ファイルの作成・変更・削除に関する高解像度のタイムラインを提供する。 サイバーセキュリティの フォレンジックと IR カテゴリに属します。

NTFS の更新シーケンス番号変更ジャーナル。あらゆるファイルシステム操作を記録し、ファイルの作成・変更・削除に関する高解像度のタイムラインを提供する。

$UsnJrnl は NTFS メタデータディレクトリ $Extend\$UsnJrnl に置かれるスパースファイルで、運用ストリーム $J が個々の USN レコード、$Max がジャーナルメタデータを保持します。各レコードにはファイル名、親参照、USN reason フラグ (FILE_CREATE、RENAME_NEW_NAME、DATA_OVERWRITE、FILE_DELETE など)、タイムスタンプが含まれます。ジャーナルはボリューム上のすべての変更を記録するため、攻撃者のバイナリが削除されていても、ドロップ・ステージング・圧縮・削除の各段階を USN の痕跡から復元できます。MFTECmd の $J パーサーは CSV タイムラインを生成し、Plaso や Timeline Explorer によるスーパータイムライン構築に活用できます。

$UsnJrnl ($J) に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。

一般的な別名: UsnJrnl, 変更ジャーナル, $J。