USN Journal 变更记录是什么
USN 变更日志记录卷内文件的创建、写入、重命名与删除的时间序列，是文件系统层面的操作时间线。短时间内大量重命名与创建是勒索类行为的典型形态；持续的小批量读取与复制，也可能在这里体现出整理与准备动作。
基本信息
| 适用平台 | Windows 的 NTFS 卷 |
|---|---|
| 位置 | 卷根目录下的 $Extend\$UsnJrnl |
| 关键字段 | 时间戳、文件名、变更原因标志、记录序号 |
| 解析工具 | MFTECmd、fsutil usn 命令 |
典型使用场景
- 还原文件批量重命名与创建的时间范围
- 排查文件被删除与改名的先后顺序
- 与主文件表的时间戳交叉验证
- 判断数据整理与外带阶段的文件操作
- 定位被改名的可疑文件的原名
- 把变更记录按分钟聚合，定位操作最密集的时间段
- 用变更原因筛选删除与重命名记录，单独分析破坏性操作
解析
解析
MFTECmd.exe -f "$Extend\$UsnJrnl" --csv out/ --csvf usn.csv
fsutil usn readjournal C: # 在线系统上的快速查看
# 时间按 UTC 记录，转换时区后再并入全局时间线字段读法
| 字段 | 含义 | 注意 |
|---|---|---|
| 时间戳 | 变更发生时间（UTC） | 并入时间线前先转时区 |
| 文件名 | 变更涉及的文件 | 重命名会成对出现新旧名 |
| 变更原因 | 创建、写入、重命名、删除等标志 | 多个标志组合表示一次操作含多个动作 |
| 记录序号 | 日志记录序号 | 用于排序与确认记录连续性 |
日志有大小上限，写满后会滚动覆盖旧记录。早期事件可能已不在日志中，缺失不能推断为未发生。
重命名事件成对出现：把新旧名拼接起来，才能看出文件被改成了什么名字。
日志条目按序号连续，出现序号缺口通常提示日志被截断或清理，这一点本身也是线索。
分析前先把日志文件复制出来并记录哈希：在线读取期间日志仍在写入，结果无法复现。