Glosario
Diario USN ($UsnJrnl:$J)
El diario de cambios de NTFS: un registro fechado por cada cambio de archivo, con flags de motivo, referencia y nombre del archivo; suele cubrir días o semanas.
El diario de cambios USN (update sequence number) se guarda en el flujo de datos $J de $Extend\$UsnJrnl. Windows añade un registro cada vez que cambia un archivo o una carpeta: una marca de tiempo, flags de motivo como FILE_CREATE, RENAME_NEW_NAME o BASIC_INFO_CHANGE, las referencias MFT del archivo y del padre, y el nombre. Aplicaciones como las de copia de seguridad o búsqueda lo usan a través de la API del diario de cambios.
Suele llegar mucho más atrás que $LogFile, pero solo registra que algo cambió, no los valores antiguos y nuevos. Además, un administrador puede eliminarlo. Ambos son complementarios: consulta $LogFile vs $UsnJrnl vs $MFT y analiza $J con el analizador del diario USN.