Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Русский
Entry № 001

$UsnJrnl ($J)

Что такое $UsnJrnl ($J)?

$UsnJrnl ($J)Журнал изменений Update Sequence Number файловой системы NTFS; фиксирует каждую операцию ФС, давая криминалистам подробную хронологию создания, изменения и удаления файлов.

$UsnJrnl — разреженный файл в каталоге метаданных NTFS $Extend\$UsnJrnl; рабочий поток $J содержит отдельные записи USN, а $Max хранит метаданные журнала. Каждая запись фиксирует имя файла, ссылку на родителя, флаги причины USN (FILE_CREATE, RENAME_NEW_NAME, DATA_OVERWRITE, FILE_DELETE и многие другие) и временную метку. Поскольку журнал отражает все изменения тома, аналитики могут восстановить жизненный цикл инструментов атакующего, даже если сами бинарники удалены: сброс, staging, упаковка и удаление оставляют USN-следы. Парсер $J в MFTECmd выдаёт CSV-таймлайны, пригодные для построения супер-таймлайнов в Plaso или Timeline Explorer.

● Примеры

  1. 01

    Восстановление того, как атакующий создавал, переименовывал и архивировал каталог staging перед эксфильтрацией.

  2. 02

    Обнаружение активности вайпера по всплеску FILE_DELETE по критическим бизнес-путям.

● Частые вопросы

Что такое $UsnJrnl ($J)?

Журнал изменений Update Sequence Number файловой системы NTFS; фиксирует каждую операцию ФС, давая криминалистам подробную хронологию создания, изменения и удаления файлов. Относится к категории Криминалистика и реагирование в кибербезопасности.

Что означает $UsnJrnl ($J)?

Журнал изменений Update Sequence Number файловой системы NTFS; фиксирует каждую операцию ФС, давая криминалистам подробную хронологию создания, изменения и удаления файлов.

Как работает $UsnJrnl ($J)?

$UsnJrnl — разреженный файл в каталоге метаданных NTFS $Extend\$UsnJrnl; рабочий поток $J содержит отдельные записи USN, а $Max хранит метаданные журнала. Каждая запись фиксирует имя файла, ссылку на родителя, флаги причины USN (FILE_CREATE, RENAME_NEW_NAME, DATA_OVERWRITE, FILE_DELETE и многие другие) и временную метку. Поскольку журнал отражает все изменения тома, аналитики могут восстановить жизненный цикл инструментов атакующего, даже если сами бинарники удалены: сброс, staging, упаковка и удаление оставляют USN-следы. Парсер $J в MFTECmd выдаёт CSV-таймлайны, пригодные для построения супер-таймлайнов в Plaso или Timeline Explorer.

Как защититься от $UsnJrnl ($J)?

Защита от $UsnJrnl ($J) обычно сочетает технические меры и операционные практики, как описано в определении выше.

Какие есть другие названия $UsnJrnl ($J)?

Распространённые альтернативные названия: UsnJrnl, Журнал изменений, $J.

● Связанные термины

● См. также