USN Journal Parser · NTFS $UsnJrnl:$J · ブラウザ完結の DFIRボリューム上のすべてのファイル変更を、ひとつのタイムラインに。

必要なもの: ホストまたは USB ドライブに展開した KAPE (Kroll 提供、無料) と、KAPE フォルダーで管理者として開いたコンソール。

kape.exe --tsource C: --tdest C:\triage --target $J,$MFT

.\kape.exe --tsource C: --tdest C:\triage --target '$J,$MFT'

結果: C:\triage\C\$Extend\$J / C:\triage\C\$MFT。C:\triage\C フォルダー、またはその ZIP をここにドロップしてください。

KAPE: フルトリアージ

kape.exe --tsource C: --tdest C:\triage --target KapeTriage

複合ターゲット KapeTriage には $J と $MFT が含まれています。出力フォルダーを ZIP にしてドロップしてください。読み込まれるのはジャーナルと $MFT だけで、その他は無視されます。

Velociraptor

Velociraptor Triage プロジェクトの Windows.Triage.Targets アーティファクト (旧リリースでは Windows.KapeFiles.Targets) でオフラインコレクターを作成し、J と MFT のターゲット (または KapeTriage) を選択します。ホスト上で管理者として実行し、できたコレクション ZIP をそのままここにドロップしてください。

Windows.Forensics.Usn はエンドポイント上でジャーナルを解析するもので、出力はレコードの表です。このパーサーが読む生の $J ではありません。

FTK Imager (Windows、無料)

1. File → Add Evidence Item → Image File を選び、.E01 / .dd を開きます。
2. エビデンスツリーで NTFS パーティションを [root] → $Extend → $UsnJrnl まで展開します。
3. $J の行 ($Max ではなく) を右クリック → Export Files…。[root] → $MFT も同じ手順でエクスポートします。

マウントしたイメージ (Arsenal Image Mounter など)

読み取り専用でマウントし、マウントしたドライブ文字 (ここでは E:) に対して KAPE コマンドを実行します:

kape.exe --tsource E: --tdest C:\triage --target $J,$MFT

The Sleuth Kit (Linux、macOS、Windows)

fls image.dd 11 | grep UsnJrnl

icat image.dd <address> > UsnJrnl-J.bin

icat image.dd 0 > MFT.bin

単一ボリュームではなくディスク全体のイメージの場合は、各コマンドに -o とパーティションの開始セクター (mmls image.dd で確認) を追加します。その後、2 つの .bin ファイルをまとめてここにドロップしてください。

• システムボリューム上のジャーナルレコード ($J ストリーム)。どの Windows バージョンでも同じパスです

  C:\$Extend\$UsnJrnl:$J

  コピー
• その他の NTFS ボリュームやマウントしたイメージ (ルートからの相対パス)。ボリュームごとに個別のジャーナルがあります

  \$Extend\$UsnJrnl:$J

  コピー
• $MFT (任意、同じボリューム): ファイル名だけの表示をフルパスにします

  C:\$MFT

  コピー

$J と $MFT をまとめて、またはそのフォルダーや ZIP (7z / RAR / gzip は不可) をドロップしてください。複数ボリュームを含むコレクションでは開くジャーナルを選べます。$Max は認識されてスキップされます。

fsutil usn queryjournal C:

Maximum Size が 0 でなければジャーナルは有効です。fsutil がジャーナルは無効と報告した場合、そのボリュームには収集するものがありません。