Articles tagués: #dfir

Windows Timeline, SRUM, Prefetch et Jump Lists comparés : ce que chacun enregistre, où il se trouve, combien de temps il dure et à quelle question il répond.

Pas à pas : ouvrir ActivitiesCache.db et son -wal dans un visualiseur gratuit, filtrer applications, fichiers, focus et presse-papiers, exporter en CSV ou JSON.

Windows 11 a retiré la vue Timeline, mais ActivitiesCache.db peut rester sur le disque. Ce qui a changé, ce que disent les sources, comment vérifier une image.

Référence des champs d'ActivitiesCache.db : ActivityType 5, 6, 10 et 16, JSON AppId, clés du payload comme activeDurationSeconds et toutes les colonnes de date.

Où se trouve ActivitiesCache.db selon le type de compte, et comment le collecter avec son -wal : image disque, KAPE, Velociraptor ou système allumé.

Guide complet de l'analyse forensique de Windows Timeline : ce que contient ActivitiesCache.db, où le trouver, pourquoi le -wal compte et comment l'exploiter.