Analysez les fichiers du journal USN NTFS ($UsnJrnl:$J) de Windows entièrement dans votre navigateur. Vos fichiers ne quittent jamais votre machine.
Exemple : fichiers synthétiques d'une intrusion fictive (poste FIN-WKS-07). Aucune donnée réelle.
Vos fichiers ne quittent jamais votre machine.
$J est un flux NTFS caché et verrouillé : l’Explorateur, copy et robocopy donnent un fichier vide ou une erreur d’accès. Le premier onglet vous donne les vrais octets en deux minutes environ.
$J (+ $MFT)Prérequis: KAPE (gratuit, de Kroll) décompressé sur l’hôte ou une clé USB, et une console ouverte en administrateur dans le dossier de KAPE.
kape.exe --tsource C: --tdest C:\triage --target $J,$MFT$J est lu comme une variable).\kape.exe --tsource C: --tdest C:\triage --target '$J,$MFT'Résultat : C:\triage\C\$Extend\$J / C:\triage\C\$MFT. Déposez ici le dossier C:\triage\C, ou un ZIP de celui-ci.
kape.exe --tsource C: --tdest C:\triage --target KapeTriageLa cible composée KapeTriage inclut déjà $J et $MFT. Zippez le dossier de sortie et déposez le ZIP : seuls le journal et la $MFT y sont lus, tout le reste est ignoré.
Créez un collecteur hors ligne avec l’artefact Windows.Triage.Targets du projet Velociraptor Triage (anciennement Windows.KapeFiles.Targets dans les versions plus anciennes) et sélectionnez les cibles J et MFT (ou KapeTriage). Exécutez-le en administrateur sur l’hôte et déposez le ZIP de collecte ici tel quel.
Windows.Forensics.Usn analyse plutôt le journal sur le poste : il produit un tableau d’enregistrements, pas le $J brut que lit ce parseur.
File → Add Evidence Item → Image File, puis ouvrez le .E01 / .dd.[root] → $Extend → $UsnJrnl.$J (pas $Max) → Export Files…. Exportez [root] → $MFT de la même façon.Montez-la en lecture seule, puis lancez la commande KAPE sur la lettre de lecteur montée (ici E:) :
kape.exe --tsource E: --tdest C:\triage --target $J,$MFT$Extend (enregistrement MFT 11) et notez l’adresse affichée devant $UsnJrnl:$J, par ex. 64-128-4fls image.dd 11 | grep UsnJrnl$J : remplacez <address> par cette adresseicat image.dd <address> > UsnJrnl-J.bin$MFT (enregistrement 0) pour les chemins completsicat image.dd 0 > MFT.binImage de disque entier plutôt qu’un seul volume : ajoutez -o et le secteur de début de la partition (donné par mmls image.dd) à chaque commande. Déposez ensuite les deux fichiers .bin ensemble ici.
$J) sur le volume système : même chemin sur toutes les versions de WindowsC:\$Extend\$UsnJrnl:$J\$Extend\$UsnJrnl:$J$MFT (facultative, même volume) : transforme les noms de fichiers seuls en chemins completsC:\$MFTDéposez $J et $MFT ensemble, leur dossier ou un ZIP (pas 7z / RAR / gzip). Si la collecte contient plusieurs volumes, vous choisissez le journal à ouvrir ; $Max est reconnu et ignoré.
fsutil usn queryjournal C:Une Maximum Size non nulle signifie que le journal est actif. Si fsutil indique que le journal n’est pas actif, il n’y a rien à collecter sur ce volume.
copy ou robocopy ne récupèrent jamais le journal : $J exige un lecteur NTFS brut (les outils ci-dessus) et les droits administrateur sur un hôte actif.$Max, pas $J, et la sortie de fsutil usn readjournal est du texte, pas un journal. Une longue suite de zéros au début de $J est normale.Pensé pour le triage
Un portage WebAssembly d'un parseur Rust éprouvé, dans un espace de travail conçu pour les questions que l'on pose vraiment à un journal USN.
Repérez les pics d'activité d'un coup d'œil et cliquez sur une barre pour filtrer le tableau sur cette fenêtre.
Ajoutez la $MFT du volume et chaque entrée obtient son chemin résolu, pas seulement un nom de fichier.
Un clic pour les créations, renommages, écrasements ou suppressions ; combinable avec le texte et la plage horaire.
Signale les rafales soutenues DataOverwrite + RenameNewName, la signature d'un chiffrement en cours.
Exportez exactement ce qui est filtré — vers Timeline Explorer, un SIEM ou mactime.
Les entrées arrivent pendant l'analyse et le tableau reste fluide grâce au rendu virtualisé.
Chaque analyse est conservée dans ce navigateur avec ses filtres. Nommez-la, revenez demain, reprenez là où vous en étiez.
Déposez un ZIP KAPE ou Velociraptor, ou un dossier : $J et $MFT sont trouvés et appariés par volume, et tout fichier inutilisable est expliqué.
Fonctionnement
Extrayez \$Extend\$UsnJrnl:$J avec KAPE, FTK Imager ou RawCopy — et la $MFT pour les chemins complets.
L'analyse tourne dans un Web Worker sur votre machine. Rien n'est envoyé, rien n'est journalisé.
Filtrez, pivotez sur la chronologie, ouvrez une entrée et exportez la tranche utile.
Le journal USN (Update Sequence Number) est un registre de modifications que NTFS tient à jour pour chaque création, suppression, renommage et modification de métadonnées d'un fichier sur un volume. Il se trouve dans le flux de données alternatif \$Extend\$UsnJrnl:$J et constitue l'une des sources d'éléments de timeline les plus riches en forensique Windows.
Lire le guide complet du journal USN NTFS →Réponse à incident, reconstruction de timelines d'intrusion, analyse de ransomware, enquêtes sur les menaces internes — tout cas nécessitant un historique de l'activité fichier, même après suppression des fichiers du disque.
Les fichiers de journal contiennent les traces de chaque action sur le volume — sensibles par nature. Cet outil livre un parseur WebAssembly directement à votre machine ; le fichier n'atteint jamais nos serveurs, et il n'y a rien à journaliser.
Gratuit, privé et open source. Déposez un journal et lisez l'historique du volume.
Ouvrir un fichier $J