Glossaire
Table ActivityOperation
La table d'ActivitiesCache.db des opérations d'insertion, de mise à jour et de suppression en attente, où les entrées retirées de Timeline laissent une trace.
ActivityOperation contient les opérations en attente de synchronisation, avec un OperationType de 1 (insertion), 2 (mise à jour) ou 3 (suppression) et un CreatedTime indiquant quand l'opération a été mise en file. kacos2000 a constaté que retirer une vignette de Timeline copie l'entrée dans cette table avec un statut supprimé (kacos2000).
Une opération de suppression est donc une preuve horodatée d'une tentative de nettoyage. Le Windows Timeline Parser marque ces lignes comme suppressions. Voir limites et anti-forensique de Windows Timeline.