Windows 取证55 条

USN Journal 变更记录

USN 记录卷内文件增删改名的时间序列：短时间内大量重命名、创建、删除是勒索与整理外带痕迹的典型形态。

用途	文件系统操作时间线
位置	卷根目录下的 $Extend\$UsnJrnl

解析

MFTECmd.exe -f '$Extend\$UsnJrnl' --csv out/ --csvf usn.csv
# 或 fsutil usn readjournal C:

时间按 UTC 记录，转换时区后并入全局时间线。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌