Series
Enquêter avec Windows Timeline
5 posts in this series. Read them in order or jump to any one.
- Analyser ActivitiesCache.db dans votre navigateur
Pas à pas : ouvrir ActivitiesCache.db et son -wal dans un visualiseur gratuit, filtrer applications, fichiers, focus et presse-papiers, exporter en CSV ou JSON.
- Windows Timeline prouve-t-il l'exécution ou l'accès ?
Ce que prouve vraiment une ligne Windows Timeline : fichier ouvert, application au premier plan, temps passé. Comment le formuler et quels artefacts confirmer.
- Analyse forensique du presse-papiers dans ActivitiesCache.db
Comment Windows stocke le texte du presse-papiers dans ActivitiesCache.db : types 10 et 16, paramètres requis, expiration à 12 heures et décodage Base64.
- Enquête Windows Timeline : un cas d'exfiltration
Cas fictif pas à pas : reconstituer la session interactive d'un compte de service et l'exfiltration de la paie grâce à ActivitiesCache.db et à son WAL.
- Limites et anti-forensique de Windows Timeline
Là où s'arrêtent les preuves Windows Timeline : expiration, paramètres, historique effacé, lignes supprimées, WAL manquant, limites des parseurs, falsification.