Windows 取证55 条

USN 日志：序号与时间的顺序性

USN 变更日志为每条变更分配递增序号，同一秒内的多条操作可依序号定序，这是仅靠时间戳难以做到的。

字段	USN 序号、文件名、变更原因、时间戳
位置	$Extend\$UsnJrnl 中的 $J 数据流

导出解析

fsutil usn readjournal C: > C:\out\usn-raw.txt
MFTECmd.exe -f 'C:\case\$J' --csv C:\out\usn

日志容量有限，长期运行的主机早期记录可能已被覆盖，范围以导出结果为准。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌