NTFS Change Journal ($UsnJrnl:$J)
| Format | NTFS Change Journal ($UsnJrnl:$J) |
|---|---|
| Kurzname | $UsnJrnl |
| Kategorie | Log |
| Plattformen | Windows |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Das Update Sequence Number Journal im Stream $J von $Extend\$UsnJrnl: ein Datensatz pro Änderung mit Dateireferenz, Referenz auf das übergeordnete Verzeichnis, Zeitstempel, Reason-Flags (Erstellen, Umbenennen, Löschen, Überschreiben von Daten …) und Dateiname. Datensätze haben standardmäßig Version 2; Version 3 (128-Bit-Datei-IDs, ReFS oder NTFS mit Range Tracking) und Version 4 kommen ebenfalls vor. Es reicht oft Tage oder Wochen zurück und nennt Dateien, die nicht mehr existieren. Der Stream ist sparse; nur sein Ende enthält Datensätze.
Signaturen
Nicht erfasst
Bekannte Dateiendungen
Nicht erfasst
Referenzen
- USN_RECORD_V2 structure (Microsoft) https://learn.microsoft.com/en-us/windows/win32/api/winioctl/ns-winioctl-usn_record_v2
- USN_RECORD_V3 structure — 128-bit file IDs, range tracking (Microsoft) https://learn.microsoft.com/en-us/windows/win32/api/winioctl/ns-winioctl-usn_record_v3
- New Technologies File System (NTFS) — format documentation, USN change journal (libyal/libfsntfs) https://github.com/libyal/libfsntfs/blob/main/documentation/New%20Technologies%20File%20System%20(NTFS).asciidoc
Diesen Eintrag zitieren
Crush-Format-Referenz, „NTFS Change Journal ($UsnJrnl:$J)“. https://kalink0.github.io/crush-forensics/formats/de/usnjrnl/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden