Glossaire
Journal USN ($UsnJrnl:$J)
Le journal de modifications NTFS : un enregistrement daté par changement, avec codes de raison, référence et nom, couvrant souvent des jours ou des semaines.
Le journal de modifications USN (update sequence number) est stocké dans le flux de données $J de $Extend\$UsnJrnl. Windows y ajoute un enregistrement chaque fois qu'un fichier ou un dossier change : un horodatage, des codes de raison comme FILE_CREATE, RENAME_NEW_NAME ou BASIC_INFO_CHANGE, les références MFT du fichier et du parent, et le nom. Les applications de sauvegarde ou de recherche l'utilisent via l'API des journaux de modifications.
Il remonte généralement bien plus loin que le $LogFile, mais n'enregistre que le fait qu'un changement a eu lieu, pas les anciennes et nouvelles valeurs. Un administrateur peut aussi le supprimer. Les deux sont complémentaires : voir $LogFile, $UsnJrnl ou $MFT, et analysez $J avec le parseur de journal USN.