Series
Fundamentos de Windows Timeline
5 posts in this series. Read them in order or jump to any one.
- Análisis forense de Windows Timeline: ActivitiesCache.db
Guía completa de análisis forense de Windows Timeline: qué registra ActivitiesCache.db, dónde está, por qué importa el -wal y cómo leerlo en una investigación.
- Ubicación de ActivitiesCache.db y adquisición forense
Dónde está ActivitiesCache.db según el tipo de cuenta y cómo adquirirlo con su -wal desde imágenes de disco, KAPE, Velociraptor o un sistema en ejecución.
- ActivitiesCache.db: tipos de actividad y campos del payload
Referencia de campos de ActivitiesCache.db: ActivityType 5, 6, 10 y 16, JSON AppId, claves del payload como activeDurationSeconds y las columnas de fecha.
- ActivitiesCache.db-wal: por qué importa el archivo WAL
Cómo el modo WAL de SQLite esconde la actividad más reciente de Windows Timeline en ActivitiesCache.db-wal, cómo funcionan los checkpoints y cómo analizarlo.
- Windows 11 Timeline: ¿sigue siendo útil ActivitiesCache.db?
Windows 11 retiró la vista Timeline, pero ActivitiesCache.db puede seguir en el disco. Qué cambió, qué dicen las fuentes y cómo comprobar una imagen.