Как очистить остаточные следы в USN Journal (журнале изменений)?

USN Journal и следы журнала изменений NTFS

Что такое USN Journal и почему его нужно очищать?

USN Journal, также называемый журналом изменений ($UsnJrnl), — это скрытый системный файл NTFS, присутствующий на каждом томе. Его назначение — позволить другому ПО (поисковым индексаторам, инструментам резервного копирования, клиентам облачной синхронизации, антивирусным сканерам) эффективно узнавать «что изменилось на этом диске с момента последней проверки», не пересканируя весь том каждый раз.

Чтобы это стало возможным, NTFS фиксирует подробности практически каждого изменения ваших файлов: удаление, создание, переименование и многое другое, независимо от того, какое приложение или метод выполнили это изменение — проводник, командная строка, скрипт или другая программа.

Непрерывная, всеобъемлющая запись. Поскольку он постоянно дополняется и может значительно разрастаться, прежде чем старые записи будут переработаны, USN Journal может сохранять остаточные следы файлов — их имена и то, что с ними было сделано — долгое время после исчезновения самих файлов.

Что находится внутри записи USN Journal?

Что именно в USN Journal затрагивает конфиденциальность?

Это, пожалуй, самая полная запись активности, описанная на этом сайте. Shellbags фиксируют только папки, просмотренные через проводник. RecentDocs фиксирует только файлы, открытые через оболочку. USN Journal фиксирует файловые операции независимо от того, как они происходили, а значит, может раскрывать имена файлов и активность, которые не зафиксировал бы ни один другой артефакт, описанный на этом сайте.

Очищает ли PrivaZer USN Journal?

Да, PrivaZer сканирует USN Journal на предмет остаточных следов старых имён файлов и операций и удаляет их. Как и $LogFile, это защищённая системная структура NTFS, на которую активно полагаются многие части Windows, поэтому она обрабатывается с помощью логики, специально созданной для неё, а не как простой файл или кэш.

Сохраняются ли остаточные следы после безвозвратного удаления исходного файла?

Да. Имя файла и операции, выполненные с ним, — создание, переименование, удаление — могут оставаться видимыми в USN Journal ещё долгое время после исчезновения самого файла и его записи MFT. Именно эта устойчивость, полезная для ПО резервного копирования и синхронизации, и делает журнал значимым с судебно-технической точки зрения.

Безопасно ли очищать следы USN Journal?

Да, если это делается так, как это делает PrivaZer. Сам USN Journal должен продолжать работать — поиск Windows, клиенты облачной синхронизации, такие как OneDrive, и ПО резервного копирования зависят от него для эффективной работы. PrivaZer очищает старые, остаточные записи, описывающие уже исчезнувшие файлы, не отключая и не нарушая текущую роль журнала. Это не то, что стоит редактировать вручную, но именно такую очистку специализированное ПО вроде PrivaZer призвано выполнять безопасно.

Появятся ли следы USN Journal снова после очистки?

Да, новые записи постоянно фиксируются в рамках обычной работы NTFS — это необходимо и ожидаемо, множество функций Windows от этого зависят. PrivaZer удаляет старые, остаточные сведения об уже несуществующих файлах, а не текущую функцию журнала.

Чем USN Journal отличается от $LogFile и shellbags?

По вашему запросу ничего не найдено. Попробуйте другие ключевые слова.

USN Journal хорошо сочетается с другими следами конфиденциальности Windows, описанными на этом сайте. $LogFile shellbags RecentDocs StreamMRU Amcache Shimcache

Для опытных пользователей
Выбор сканирования — следы в USN Journal

Как очистить остаточные следы в USN Journal (журнале изменений) в Windows

Остались вопросы? Мы будем рады помочь. Свяжитесь с нашей службой поддержки