Analysiere Windows-NTFS-USN-Journal-Dateien ($UsnJrnl:$J) vollständig in deinem Browser. Dateien verlassen niemals deinen Rechner.
Beispiel: synthetische Dateien eines fiktiven Einbruchs (Host FIN-WKS-07). Keine echten Daten.
Dateien verlassen niemals deinen Rechner.
$J ist ein versteckter, gesperrter NTFS-Stream: Explorer, copy und robocopy liefern eine leere Datei oder einen Zugriffsfehler. Mit dem ersten Tab haben Sie die echten Bytes in etwa zwei Minuten.
$J sichern (+ $MFT)Voraussetzungen: KAPE (kostenlos, von Kroll) entpackt auf dem Host oder einem USB-Stick, und eine als Administrator geöffnete Konsole im KAPE-Ordner.
kape.exe --tsource C: --tdest C:\triage --target $J,$MFT$J als Variable gelesen).\kape.exe --tsource C: --tdest C:\triage --target '$J,$MFT'Ergebnis: C:\triage\C\$Extend\$J / C:\triage\C\$MFT. Legen Sie den Ordner C:\triage\C hier ab, oder ein ZIP davon.
kape.exe --tsource C: --tdest C:\triage --target KapeTriageDas Compound-Target KapeTriage enthält $J und $MFT bereits. Packen Sie den Ausgabeordner als ZIP und legen Sie es ab: Nur Journal und $MFT werden daraus gelesen, alles andere wird ignoriert.
Erstellen Sie einen Offline-Collector mit dem Artefakt Windows.Triage.Targets aus dem Velociraptor-Triage-Projekt (früher bzw. in älteren Versionen Windows.KapeFiles.Targets) und wählen Sie die Targets J und MFT (oder KapeTriage). Führen Sie ihn als Administrator auf dem Host aus und legen Sie das Collection-ZIP unverändert hier ab.
Windows.Forensics.Usn parst das Journal dagegen direkt auf dem Endpunkt: Es liefert eine Tabelle von Einträgen, nicht das rohe $J, das dieser Parser liest.
File → Add Evidence Item → Image File, dann das .E01 / .dd öffnen.[root] → $Extend → $UsnJrnl aufklappen.$J (nicht $Max) → Export Files…. [root] → $MFT genauso exportieren.Schreibgeschützt einbinden und den KAPE-Befehl auf den eingebundenen Laufwerksbuchstaben (hier E:) ausführen:
kape.exe --tsource E: --tdest C:\triage --target $J,$MFT$Extend (MFT-Eintrag 11) auflisten und die Adresse vor $UsnJrnl:$J notieren, z. B. 64-128-4fls image.dd 11 | grep UsnJrnl$J extrahieren: <address> durch diese Adresse ersetzenicat image.dd <address> > UsnJrnl-J.bin$MFT (Eintrag 0) für vollständige Pfade extrahierenicat image.dd 0 > MFT.binImage der ganzen Festplatte statt eines einzelnen Volumes: Jedem Befehl -o und den Startsektor der Partition (laut mmls image.dd) hinzufügen. Danach beide .bin-Dateien zusammen hier ablegen.
$J-Stream) auf dem Systemvolume: gleicher Pfad in jeder Windows-VersionC:\$Extend\$UsnJrnl:$J\$Extend\$UsnJrnl:$J$MFT (optional, selbes Volume): macht aus reinen Dateinamen vollständige PfadeC:\$MFTLegen Sie $J und $MFT zusammen ab, ihren Ordner oder ein ZIP (kein 7z / RAR / gzip). Enthält die Sammlung mehrere Volumes, wählen Sie das zu öffnende Journal; $Max wird erkannt und übersprungen.
fsutil usn queryjournal C:Eine Maximum Size ungleich null bedeutet, dass das Journal aktiv ist. Meldet fsutil, dass das Journal nicht aktiv ist, gibt es auf diesem Volume nichts zu sichern.
copy oder robocopy liefern nie das Journal: $J braucht einen Raw-NTFS-Reader (die Tools oben) und Administratorrechte auf einem laufenden Host.$Max, nicht $J, und die Ausgabe von fsutil usn readjournal ist Text, kein Journal. Eine lange Folge von Nullen am Anfang von $J ist normal.Für die Triage gebaut
Ein WebAssembly-Port eines erprobten Rust-Parsers in einem Arbeitsbereich, der für die Fragen gebaut ist, die man einem USN-Journal wirklich stellt.
Aktivitätsspitzen auf einen Blick erkennen und per Klick auf einen Balken die Tabelle auf dieses Fenster filtern.
Mit der $MFT des Volumes erhält jeder Eintrag seinen aufgelösten Pfad statt nur eines Dateinamens.
Ein Klick für Erstellungen, Umbenennungen, Überschreibungen oder Löschungen; kombinierbar mit Text- und Zeitfilter.
Markiert anhaltende DataOverwrite- + RenameNewName-Schübe, die Signatur eines Verschlüsselungslaufs.
Genau das Gefilterte exportieren — für Timeline Explorer, ein SIEM oder mactime.
Einträge erscheinen schon während des Parsens, und die Tabelle bleibt dank Virtualisierung flüssig.
Jede Analyse bleibt samt Filtern in diesem Browser. Benennen, morgen wiederkommen und dort weitermachen, wo Sie aufgehört haben.
Ein KAPE- oder Velociraptor-ZIP oder einen Ordner ablegen: $J und $MFT werden gefunden und pro Volume gepaart, Unbrauchbares wird erklärt.
So funktioniert es
\$Extend\$UsnJrnl:$J mit KAPE, FTK Imager oder RawCopy extrahieren — plus $MFT für vollständige Pfade.
Der Parser läuft in einem Web Worker auf Ihrem Rechner. Nichts wird hochgeladen, nichts protokolliert.
Filtern, auf der Zeitachse pivotieren, Einträge öffnen und den benötigten Ausschnitt exportieren.
Das USN-Journal (Update Sequence Number) ist ein Änderungsprotokoll, das NTFS für jede Datei-Erstellung, -Löschung, -Umbenennung und Metadatenänderung auf einem Volume führt. Es liegt im alternativen Datenstrom \$Extend\$UsnJrnl:$J und ist eine der ergiebigsten Quellen für Zeitlinienbeweise in der Windows-Forensik.
Den vollständigen NTFS-USN-Journal-Leitfaden lesen →Incident Response, Rekonstruktion von Eindringungs-Timelines, Ransomware-Analyse, Insider-Threat-Untersuchungen — überall dort, wo ein Verlauf der Dateiaktivität benötigt wird, selbst nachdem Dateien gelöscht wurden.
Journaldateien enthalten Spuren jeder Aktion auf dem Volume — von Natur aus sensibel. Dieses Tool liefert einen WebAssembly-Parser direkt auf deinen Rechner; die Datei erreicht unsere Server nie und es gibt nichts zu loggen.
Kostenlos, privat und Open Source. Journal ablegen und die Geschichte des Volumes lesen.
$J-Datei öffnen