Series
Ermitteln mit Windows Timeline
5 posts in this series. Read them in order or jump to any one.
- ActivitiesCache.db im Browser analysieren
Schritt für Schritt: ActivitiesCache.db mit -wal im kostenlosen Viewer öffnen, Apps, Dateien, Fokuszeit und Zwischenablage filtern, CSV oder JSON exportieren.
- Beweist Windows Timeline Ausführung oder Dateizugriff?
Was eine Windows-Timeline-Zeile wirklich belegt: geöffnete Datei, App im Fokus, Nutzungsdauer. Wie Sie es formulieren und welche Artefakte es bestätigen.
- Zwischenablage-Forensik in ActivitiesCache.db
Wie Windows Text aus der Zwischenablage in ActivitiesCache.db speichert: Typen 10 und 16, nötige Einstellungen, Ablauf nach 12 Stunden und Base64-Dekodierung.
- Windows-Timeline-Ermittlung: ein Exfiltrationsfall
Fiktiver Fall Schritt für Schritt: interaktive Sitzung eines Dienstkontos und Exfiltration von Gehaltsdaten aus ActivitiesCache.db und WAL rekonstruieren.
- Grenzen und Anti-Forensik von Windows Timeline
Wo die Beweiskraft von Windows Timeline endet: Ablauf, Einstellungen, gelöschter Verlauf, entfernte Zeilen, fehlendes WAL, Parser-Grenzen und Manipulation.