Beiträge mit Tag: #dfir

Windows Timeline, SRUM, Prefetch und Jump Lists im Vergleich: was jedes Artefakt speichert, wo es liegt, wie lange es hält und welche Frage es beantwortet.

Schritt für Schritt: ActivitiesCache.db mit -wal im kostenlosen Viewer öffnen, Apps, Dateien, Fokuszeit und Zwischenablage filtern, CSV oder JSON exportieren.

Windows 11 hat die Timeline-Ansicht entfernt, doch ActivitiesCache.db kann weiter auf der Platte liegen. Was sich änderte, was Quellen sagen und wie Sie prüfen.

Feldreferenz zu ActivitiesCache.db: ActivityType 5, 6, 10 und 16, das AppId-JSON, Payload-Schlüssel wie activeDurationSeconds und alle Zeitspalten.

Wo ActivitiesCache.db je nach Kontotyp liegt und wie Sie die Datei mit ihrer -wal aus Images, per KAPE, Velociraptor oder am laufenden System sichern.

Leitfaden zur Windows-Timeline-Forensik: was ActivitiesCache.db speichert, wo die Datei liegt, warum die -wal-Datei zählt und wie Sie sie auswerten.