当前位置: 首页 > 新闻中心 > 技术分享 > 【美亚技术分享】第六十七期:Win10时间线功能解析分享

【美亚技术分享】第六十七期:Win10时间线功能解析分享

【美亚技术分享】第六十七期:Win10时间线功能解析分享


编者按

2018年4月Windows 1803版本正式推出了时间线功能,可以让用户在设备上搜索最长30天前的所有任务,时间线可以显示你之前所开启的应用和文档,让你可以快速拾起之前的工作。这就好像浏览器历史的视觉化,只不过范围扩大到了整个系统。 


Windows10时间线提供跨设备甚至跨平台支持。这意味着用户不仅可以在Win10设备之间迁移无阻,甚至只要登录微软账号,便可以在iPhone或安卓手机上继续之前在电脑上的工作。对时间线功能的预研和数据提取,可以实现部分的文件溯源分析功能,刻画出文件的生命曲线。本期美亚柏科技术专家,将为大家打来Win10时间线功能的解析分享。


1.如何使用Windows10时间线


1.1  如何访问时间线


点击Cortana搜索框右侧的“任务视图”按钮便可以打开时间线视图。也可以使用”Windows” + “Tab” 快捷键开启时间线视图。


1545379867966997.png

(图1:”任务视图”按钮位置)


如果任务栏上没有显示任务视图”按钮,那可能是被隐藏了,右击任务栏并选择显示“任务视图”按钮,便可以重新开启该功能。


1545379892265987.png

(图2:显示“任务视图”按钮)


时间线默认的视图是当前任务+今天早些时候的任务历史视图,用户可以通过滑块回到更早的时间历史。一般情况下时间线视图只会展示4天的信息,如果要回看30天内更多的信息,则需要登录微软账号。


1545380461384641.png

(图3:时间线视图)


直接点击某项任务,或者右击打开,即可继续之前的工作。


 1545380000763835.png

(图4:打开时间线任务)


通常,时间线会展示每个日期的主要活动缩略图,如果查看更多的文件和应用,可以点击日期后面的链接-“查看所有XX次活动”。如果要返回之前的视图,只需点击“仅查看主要活动”链接。


1545379925373562.png

(图5:左-主要活动缩略图,右-所有活动视图)



想要快速定位任务的话,可以使用搜索功能。


1545380021310959.png

(图6:搜索指定时间线任务)


用户可以删除特定时间线项,或者清除某个日期的所有活动记录。移除一个时间线记录,并不会删除实际的文档,仅仅只是从时间线历史移除而已。右击想删除的活动缩略图,选择“删除”。如果想清除该日期的所有活动记录,选择点击“清除从xxx起的所有内容”。

 

1545380040239538.png

(图7:删除时间线任务)


1.2 如何同步电脑间的时间线


时间线是默认开启的,只有用户许可才能同步数据到云端。如果本地电脑数据同步到云端,那么使用相同微软账号登录的PC端便可以看到这些同步的信息。有两种方式可以开启同步功能。


方法一

下拉到时间线底部,“在时间线中查看更多的日期”标题下,点击”登录”按钮登录微软账号。 


1545380076237227.png

(图8:登录微软账号)


方法二

转到设置->隐私->活动历时记录,选择”允许Windows将我的活动从此电脑同步到云”。


1545380204664956.png

 


(图9:设置页面允许同步)


1.3 如何禁用时间线


如果用户不想使用时间线功能,可以转到设置->隐私->活动历时记录,取消“允许Windows从此电脑中收集我的活动”选项。


如果用户想清除时间线内容,需要将所有出现在“显示账户活动”下的账号设置为“关闭”,并点击”清理”按钮。 


1545380224427515.png


(图10:禁用时间线)



2. Win10时间线数据探秘


2.1 ActivitiesCache.db数据库


时间线信息存放在C:Users<user>AppDataLocalConnectedDevicesPlatformL.<user>[|ADD. <字符串>|随机字符串] 目录下的ActivitiesCache.db文件中。使用取证软件加载ActivitiesCache.db,下面是以美亚柏科取证大师为例,从签名可以看出ActivitiesCache.db为SQLite数据库。


1545380242950579.png

(图11:数据库文件签名)


2.2 ActivitiesCache.db内容分析


ActivitiesCache.db包含7张数据表:Activity、Activity_PackageId、ActiviyAssetCache、ActivityOperation、AppSettings、ManualSequence、Metadata.

其中只有Activity、Activity_PackageId、ActivityOperation三张表记录用户的活动信息。


2.2.1 Activity表

Activity表记录活动的详细信息,包括操作的文档以及关联的应用程序。

其中AppActivityId为活动标识,分为三种格式:

a.类似GUID的字符串;

b.类似GUID的字符串字符标志

c.URL


PackageIdHash字段标识了活动对应的应用,不同的应用具有不同的哈希值。

AcitivityTpye字段表明活动类型。当ActivityType为5时,表明了该活动为打开操作,该操作包括应用、文档、以及URL的打开;当ActivityType为5时,表明该活动为应用交互操作。


Payload字段对应ActivityType,分为两种格式。当ActivityType为5时,Payload记录了活动标题、应用名、文件路径/URL;当ActivityTpye为6时,Payload记录了应用交互的时间。


下面表格为对应的ActivityType和Payload的内容展示:


1545380869648933.png

(表1:ActivityType和Payload内容)


2.2.2 Activity_PackageId表

Activity_PackageId表包含最近30天内执行的应用程序信息,这些信息包括执行程序路径,执行程序名称,以及记录过期时间。


2.2.3 ActivityOperation表

ActivityOperation表与Activity表的内容大致相同,保存了从时间线界面移除的活动记录信息。


2.2.4 ManualSequence表

ManualSequence表记录了数据库中最后一个活动记录的ETAG值。


2.2.5 Metadata表

Metadata表包含了ActivitiesCache.db创建的日期和时间。

7张表格的内容如下图所示:

 

1545380270971392.png

(图12:时间线数据库表格内容)


对Win10时间线信息进行取证,可以获取用户打开的应用、文档以及网页信息,取证示例结果如下图所示:


33.png

(图13:使用取证大师获取Win10时间线信息)


3. 总结


新颖的Windows10时间线功能方便了用户的工作,也追踪记录了大量的用户信息,解析Windows10时间线数据对文件溯源分析有着重要意义。

美亚柏科一直关注行业动向,注重产品的完善拓展,着力提升对用户的服务品质和用户体验。本次Win10时间线取证操作中,我们应用到了取证大师。后续我们也将在取证大师V6的后续版本中支持Windows10时间线信息的提取,以呈现给用户更加优质的服务,敬请期待。