Win10时间线功能解析分享美亚技术分享VOL.67

编者按

2018年4月Windows 1803版本正式推出了时间线功能,可以让用户在设备上搜索最长30天前的所有任务,时间线可以显示你之前所开启的应用和文档,让你可以快速拾起之前的工作。这就好像浏览器历史的视觉化,只不过范围扩大到了整个系统。

Windows10时间线提供跨设备甚至跨平台支持。这意味着用户不仅可以在Win10设备之间迁移无阻,甚至只要登录微软账号,便可以在iPhone或安卓手机上继续之前在电脑上的工作。对时间线功能的预研和数据提取,可以实现部分的文件溯源分析功能,刻画出文件的生命曲线。本期美亚柏科技术专家,将为大家打来Win10时间线功能的解析分享。

1

如何使用Windows10时间线

如何访问时间线

点击Cortana搜索框右侧的“任务视图”按钮便可以打开时间线视图。也可以使用”Windows” + “Tab” 快捷键开启时间线视图。

(图1:”任务视图”按钮位置)

如果任务栏上没有显示任务视图”按钮,那可能是被隐藏了,右击任务栏并选择显示“任务视图”按钮,便可以重新开启该功能。

(图2:显示“任务视图”按钮)

时间线默认的视图是当前任务+今天早些时候的任务历史视图,用户可以通过滑块回到更早的时间历史。一般情况下时间线视图只会展示4天的信息,如果要回看30天内更多的信息,则需要登录微软账号。

(图3:时间线视图)

直接点击某项任务,或者右击打开,即可继续之前的工作。

(图4:打开时间线任务)

通常,时间线会展示每个日期的主要活动缩略图,如果查看更多的文件和应用,可以点击日期后面的链接-“查看所有XX次活动”。如果要返回之前的视图,只需点击“仅查看主要活动”链接。

(图5:左-主要活动缩略图,右-所有活动视图)

想要快速定位任务的话,可以使用搜索功能。

(图6:搜索指定时间线任务)

用户可以删除特定时间线项,或者清除某个日期的所有活动记录。移除一个时间线记录,并不会删除实际的文档,仅仅只是从时间线历史移除而已。右击想删除的活动缩略图,选择“删除”。如果想清除该日期的所有活动记录,选择点击“清除从xxx起的所有内容”。

(图7:删除时间线任务)

如何同步电脑间的时间线

时间线是默认开启的,只有用户许可才能同步数据到云端。如果本地电脑数据同步到云端,那么使用相同微软账号登录的PC端便可以看到这些同步的信息。有两种方式可以开启同步功能。

方法一

下拉到时间线底部,“在时间线中查看更多的日期”标题下,点击”登录”按钮登录微软账号。

(图8:登录微软账号)

方法二

转到设置->隐私->活动历时记录,选择”允许Windows将我的活动从此电脑同步到云”。

(图9:设置页面允许同步)

如何禁用时间线

如果用户不想使用时间线功能,可以转到设置->隐私->活动历时记录,取消“允许Windows从此电脑中收集我的活动”选项。

如果用户想清除时间线内容,需要将所有出现在“显示账户活动”下的账号设置为“关闭”,并点击”清理”按钮。

(图10:禁用时间线)

02

Win10时间线数据探秘

ActivitiesCache.db数据库

时间线信息存放在C:UsersAppDataLocalConnectedDevicesPlatformL.[|ADD. |随机字符串] 目录下的ActivitiesCache.db文件中。使用取证软件加载ActivitiesCache.db,下面是以美亚柏科取证大师为例,从签名可以看出ActivitiesCache.db为SQLite数据库。

(图11:数据库文件签名)

ActivitiesCache.db内容分析

ActivitiesCache.db包含7张数据表:Activity、Activity_PackageId、ActiviyAssetCache、ActivityOperation、AppSettings、ManualSequence、Metadata.

其中只有Activity、Activity_PackageId、ActivityOperation三张表记录用户的活动信息。

(1)Activity表

Activity表记录活动的详细信息,包括操作的文档以及关联的应用程序。

其中AppActivityId为活动标识,分为三种格式:

a.类似GUID的字符串;

b.类似GUID的字符串字符标志

c.URL

PackageIdHash字段标识了活动对应的应用,不同的应用具有不同的哈希值。

AcitivityTpye字段表明活动类型。当ActivityType为5时,表明了该活动为打开操作,该操作包括应用、文档、以及URL的打开;当ActivityType为5时,表明该活动为应用交互操作。

Payload字段对应ActivityType,分为两种格式。当ActivityType为5时,Payload记录了活动标题、应用名、文件路径/URL;当ActivityTpye为6时,Payload记录了应用交互的时间。

下面表格为对应的ActivityType和Payload的内容展示:

(表1:ActivityType和Payload内容)

(2)Activity_PackageId表

Activity_PackageId表包含最近30天内执行的应用程序信息,这些信息包括执行程序路径,执行程序名称,以及记录过期时间。

(3)ActivityOperation表

ActivityOperation表与Activity表的内容大致相同,保存了从时间线界面移除的活动记录信息。

(4)ManualSequence表

ManualSequence表记录了数据库中最后一个活动记录的ETAG值。

(5)Metadata表

Metadata表包含了ActivitiesCache.db创建的日期和时间。

7张表格的内容如下图所示:

(图12:时间线数据库表格内容)

对Win10时间线信息进行取证,可以获取用户打开的应用、文档以及网页信息,取证示例结果如下图所示:

(图13:使用取证大师获取Win10时间线信息)

03

总结

新颖的Windows10时间线功能方便了用户的工作,也追踪记录了大量的用户信息,解析Windows10时间线数据对文件溯源分析有着重要意义。

美亚柏科一直关注行业动向,注重产品的完善拓展,着力提升对用户的服务品质和用户体验。本次Win10时间线取证操作中,我们应用到了取证大师。后续我们也将在取证大师V6的后续版本中支持Windows10时间线信息的提取,以呈现给用户更加优质的服务,敬请期待。

  • 发表于:
  • 原文链接https://kuaibao.qq.com/s/20181220A1DRX300?refer=cp_1026
  • 腾讯「云+社区」是腾讯内容开放平台帐号(企鹅号)传播渠道之一,根据《腾讯内容开放平台服务协议》转载发布内容。

扫码关注云+社区

领取腾讯云代金券