Series
Les fondamentaux de Windows Timeline
5 posts in this series. Read them in order or jump to any one.
- Analyse forensique de Windows Timeline : ActivitiesCache.db
Guide complet de l'analyse forensique de Windows Timeline : ce que contient ActivitiesCache.db, où le trouver, pourquoi le -wal compte et comment l'exploiter.
- Emplacement d'ActivitiesCache.db et acquisition
Où se trouve ActivitiesCache.db selon le type de compte, et comment le collecter avec son -wal : image disque, KAPE, Velociraptor ou système allumé.
- ActivitiesCache.db : types d'activité et champs du payload
Référence des champs d'ActivitiesCache.db : ActivityType 5, 6, 10 et 16, JSON AppId, clés du payload comme activeDurationSeconds et toutes les colonnes de date.
- ActivitiesCache.db-wal : pourquoi le fichier WAL compte
Comment le mode WAL de SQLite cache l'activité la plus récente de Windows Timeline dans ActivitiesCache.db-wal, et comment l'analyser sans rien altérer.
- Windows 11 Timeline : ActivitiesCache.db encore utile ?
Windows 11 a retiré la vue Timeline, mais ActivitiesCache.db peut rester sur le disque. Ce qui a changé, ce que disent les sources, comment vérifier une image.