Windows에서 지원하는 Timeline 기능
- 실행하고 있는 응용프로그램
- 과거에 실행했던 응용프로그램
- 최대 30일의 사용자 행위를 보관
Windows + Tab
- → 해봤는데, 현재 실행 중인 응용프로그램만 확인 가능하고, 이전 데이터는 안 보였음. 바뀌었나?
설정 활성화 해두어야 함.
-
설정 > 개인 정보 및 보안 > 활동 기록
Timeline 데이터 저장 경로
- 유저 계정에 따라 경로가 달라짐
- 로컬 계정: L.{로컬 계정명}
- 마이크로소프트 계정: {마이크로소프트 식별자(CID)}
- Office 365 & AAD 계정: AAD.{보안 식별자(SID)}
- %UserProfile%\AppData\Local\ConnectedDevicesPlatform\{계정명}\ActivitiesCache.db
ActivitiesCache.db 구조
- Activity: 응용프로그램 실행 기록, 실행 시간 등 보통의 Timeline 데이터
- ActivityOperation: 생성이나 삭제 이벤트에 대한 Timeline 데이터
- Activity_PackageId: 앱별 패키지 이름
- Payload 컬럼 확인
Windows 10에서 2018년부터 추가된 기능
- Windows 11부터는 지원 중단 ………. ㅇㅎ
- 그러나, 동일한 경로에 데이터가 생성됨을 확인
- ‘활동 기록’ 메뉴 역시 그대로 존재 (위에서 찾은 것, 강의랑은 달랐음)
- 최근 정보라 도구가 따로 없음. db browser로 보면 되긴 함.
포렌식적 의미
- 시간에 따른 사용자의 행위 추적
- 응용프로그램의 구체적인 사용 시각을 알 수 있음
- 교차검증에 용이 ~
경로
- 계정명 확인
- %UserProfile%\AppData\Local\ConnectedDevicesPlatform\{계정명}\ActivitiesCache.db
- DB Browser for SQLite
