Glossaire
GUID de dossier connu (KNOWNFOLDERID)
Un GUID que Windows utilise pour désigner un dossier standard comme System32 ou Program Files. Les chemins AppId de Timeline en commencent souvent par un.
Windows identifie les dossiers standard par des constantes KNOWNFOLDERID (Microsoft Learn). Dans ActivitiesCache.db, les chemins d'application commencent souvent par l'une d'elles : {1AC14E77-02E7-4E5D-B744-2EB1AE5198B7} désigne System32, {6D809377-6AF0-444B-8957-A3773F02200E} le Program Files 64 bits, {7C5A40EF-A0FB-4BFC-874A-C0F2E0B9FA8E} Program Files (x86).
Comme le GUID n'enregistre pas de lettre de lecteur, le Windows Timeline Parser l'affiche sous forme de variable d'environnement comme %ProgramFiles%. Voir types d'activité et champs du payload.