Glossar
USN-Journal ($UsnJrnl:$J)
Das Änderungsjournal von NTFS: ein datierter Eintrag pro Dateiänderung mit Grund-Flags, Dateireferenz und Name, meist über Tage bis Wochen.
Das USN-Änderungsjournal (Update Sequence Number) liegt im Datenstrom $J von $Extend\$UsnJrnl. Windows fügt jedes Mal einen Eintrag hinzu, wenn sich eine Datei oder ein Ordner ändert: einen Zeitstempel, Grund-Flags wie FILE_CREATE, RENAME_NEW_NAME oder BASIC_INFO_CHANGE, die MFT-Referenzen von Datei und übergeordnetem Ordner sowie den Namen. Anwendungen wie Backup und Suche nutzen es über die Change-Journal-API.
Es reicht meist deutlich weiter zurück als das $LogFile, hält aber nur fest, dass sich etwas geändert hat, nicht die alten und neuen Werte. Zudem kann ein Administrator es löschen. Die beiden ergänzen sich: siehe $LogFile, $UsnJrnl oder $MFT: welches NTFS-Artefakt wann, und werten Sie $J mit dem USN-Journal-Parser aus.