01Konum
- <NTFS volume>\$Extend\$UsnJrnl:$J
- <NTFS volume>\$Extend\$UsnJrnl:$Max
02Yanıtladığı sorular
- Bir dosya ne zaman oluşturuldu, yeniden adlandırıldı, üzerine yazıldı, büyütüldü, kesildi veya silindi?
- Yeniden adlandırılan dosyanın eski ve yeni adları neydi?
- Bir dosya hangi dizinde bulunuyordu (üst referans)?
- Hangi dosyalar kısa süre var olup artık $MFT'de bulunmuyor?
03Biçim ve sürümler
| Biçim | $J, blok bazında saklanan 64 bit hizalı USN_RECORD_V2 girdilerinden (ana sürüm 2) oluşan seyrek bir akıştır; $Max 32 baytlık üst veridir (azami boyut, ayırma artışı, FILETIME biçiminde günlük tanımlayıcısı). |
|---|---|
| Geçerli olduğu sürümler | Etkin değişiklik günlüğü olan NTFS birimleri; $UsnJrnl'in MFT girdi dizini sabit değildir. |
04Temel alanlar
| Alan | Ne anlatır |
|---|---|
| FileReferenceNumber | Değişen dosya veya dizinin MFT referansı. |
| ParentFileReferenceNumber | İçeren dizinin MFT referansı. |
| Usn | Kaydın $J içindeki ofseti; benzersiz tanımlayıcı olarak kullanılır. |
| Reason | Dosya açıldığından beri biriken değişiklik bayrakları; ör. FILE_CREATE, FILE_DELETE, RENAME_OLD_NAME, RENAME_NEW_NAME, DATA_OVERWRITE, STREAM_CHANGE, CLOSE. |
| SourceInfo | DATA_MANAGEMENT, AUXILIARY_DATA ve REPLICATION_MANAGEMENT gibi bayraklar. |
| FileName / FileAttributes / SecurityId | Kayıt anındaki ad (UTF-16LE), öznitelik bayrakları ve $Secure tanımlayıcısı. |
05Zaman damgaları
| Alan | Kodlama | Not |
|---|---|---|
| TimeStamp | FILETIME (UTC) | Günlük kaydının zamanı. |
| $Max journal identifier | FILETIME (UTC) | Günlük örneğini tanımlar. |
Ham değerleri Zaman damgası çözücü, yerel saatleri ise Yerel saatten UTC'ye ile çözün.
06İnceleme akışı
- $UsnJrnl:$J ve $Max'i çıkarın; seyrek aralıkları veri gibi ele almak yerine atlayın.
- Kayıtları ayrıştırın ve dosya ile üst referansları sıra numaralarını denetleyerek $MFT'ye karşı çözün.
- Her işlemi yeniden kurmak için kayıtları dosya referansı başına USN_REASON_CLOSE'a kadar gruplayın.
- Kapsamı genişletmek için $MFT, $LogFile ve Birim Gölge Kopyalarıyla birleştirin.
07Yorum tuzakları
- Günlük değişiklikleri ve adları tanımlar; değişen veriyi içermez.
- Akış azami boyuta ulaştığında en eski kayıtlar silinir ve yerini seyrek bir aralık alır.
- Kayıtlar yalnızca dosya adını tutar; tam yollar, yeniden kullanılmış MFT girdilerini gösterebilecek üst referansların çözülmesine bağlıdır.
09Kaynaklar
- New Technologies File System (NTFS) libyal / libfsntfs (J. Metz) · erişim 2026-10-14
- Change Journals Microsoft Learn · erişim 2026-10-14
- USN_RECORD_V2 structure (winioctl.h) Microsoft Learn · erişim 2026-10-14
- MFTECmd README Eric Zimmerman (GitHub) · erişim 2026-10-14