Başvuru
Artefakt kütüphanesi
İşletim sistemlerinin, tarayıcıların ve uygulamaların geride bıraktığı izler için yapılandırılmış bir başvuru kaynağı. Her kayıt; tam konumu, önemli alanları, zaman damgalarının nasıl kodlandığını, adım adım inceleme akışını, yorum tuzaklarını ve her ifadenin dayandığı birincil kaynakları verir.
Bu filtrelere uyan artefakt yok.
Windows 24
Windows sistemlerinde program çalıştırma, dosya erişimi, USB aygıtlar, hesaplar ve olay günlükleri.
- TemelDosya sistemi
$MFT (NTFS Ana Dosya Tablosu)
NTFS Ana Dosya Tablosu: her dosya için $STANDARD_INFORMATION ve $FILE_NAME zamanlarını, adları, üst dizinleri ve veri dizilerini tutan FILE kayıtları.
- TemelProgram çalıştırma
Amcache.hve
Uygulama envanteri verisi tutan kayıt defteri biçimli kovan: dosya yolları, SHA-1 değerleri, PE üst verileri ve kurulu program kayıtları.
- TemelProgram çalıştırma
AppCompatCache (Shimcache)
SYSTEM kovanındaki AppCompatCache değeri: uyumluluk alt sisteminin gördüğü dosya yolları ve değişiklik zamanları; çalıştırma kanıtı değildir.
- TemelSilinen dosyalar
Geri Dönüşüm Kutusu ($I / $R dosyaları)
Her silinen öğe için $I üst veri dosyası (özgün yol, boyut, silme zamanı) ve $R veri dosyası tutan kullanıcıya özgü $Recycle.Bin klasörleri.
- TemelDosya ve klasör erişimi
Jump List'ler
Son veya sık kullanılan öğeleri LNK verisi olarak listeleyen uygulama bazlı AutomaticDestinations (DestList'li OLE dosyası) ve CustomDestinations.
- TemelDosya ve klasör erişimi
LNK kısayol dosyaları
Hedefin yolunu, birim seri numarasını, paylaşım adını, MAC zamanlarını, boyutunu ve makine kimliğini kaydeden Shell Link dosyaları.
- TemelProgram çalıştırma
Prefetch dosyaları
Yürütülebilir dosya başına tutulan SCCA izleri: çalıştırma sayısı, en fazla sekiz son çalıştırma zamanı ve başvurulan dosyalar.
- TemelDosya ve klasör erişimi
ShellBags (BagMRU / Bags)
Explorer'ın klasör bazlı görünüm ayarlarını tutan BagMRU ve Bags anahtarları; klasör silinse bile yolları ve shell item zamanlarını korur.
- TemelHarici aygıtlar
USB aygıt geçmişi (USBSTOR, USB, MountedDevices, setupapi.dev.log)
Bağlanan depolama aygıtlarını, seri numaralarını ve birim eşlemelerini birlikte belirleyen USBSTOR, USB, MountedDevices anahtarları ve setupapi.dev.log.
- TemelOlay günlükleri
Windows XML Olay Günlüğü (EVTX)
EVTX dosyaları: her biri kayıt kimliği ve FILETIME yazma zamanı taşıyan ikili XML olay kayıtlarından oluşan, kanal başına 64 KiB'lik parçalar.
- OrtaDosya sistemi
$UsnJrnl:$J (USN değişiklik günlüğü)
NTFS değişiklik günlüğü: dosya referansı, üst dizin, ad, neden bayrakları ve değişiklik başına FILETIME içeren seyrek $J akışı.
- OrtaProgram çalıştırma
BAM / DAM (Arka Plan ve Masaüstü Etkinlik Düzenleyicisi)
SYSTEM kovanında kullanıcı SID'lerini yürütülebilir dosya aygıt yollarına ve her biri için bir çalıştırma FILETIME değerine eşleyen BAM ve DAM anahtarları.
- OrtaDosya sistemi
Birim Gölge Kopyaları
Bir birimdeki dosyaların, kayıt defteri kovanlarının ve günlüklerin önceki durumlarını koruyan, System Volume Information'daki yazmada kopyalama görüntüleri.
- OrtaKalıcılık
Hizmetler kayıt defteri anahtarı
SYSTEM kovanında hizmet ve sürücü başına yapılandırma anahtarları: görüntü yolu, başlangıç türü, hizmet türü, oturum hesabı ve ServiceDll.
- OrtaDosya ve klasör erişimi
RecentDocs kayıt defteri anahtarı
Explorer üzerinden son açılan dosya ve klasörleri uzantıya göre gruplayan ve MRUListEx ile sıralayan kullanıcıya özgü MRU anahtarı.
- OrtaKullanıcı etkinliği
RunMRU ve TypedPaths
Çalıştır iletişim kutusuna yazılan komutları (RunMRU) ve Explorer adres çubuğuna yazılan yolları (TypedPaths) tutan kullanıcı kayıtları.
- OrtaKaynak kullanımı
SRUM (SRUDB.dat)
Uygulama ve kullanıcı bazında kaynak kullanımını tutan ESE veritabanı: CPU döngüleri, disk G/Ç, ağ baytları ve bağlantı; kimlik eşleme tablosuyla.
- OrtaDosya ve klasör erişimi
Thumbcache veritabanları
Explorer küçük resim önbellek dosyaları: ThumbnailCacheId ile anahtarlanan CMMM önbellek dosyaları ve IMMM dizini; resimleri boyuta göre saklar.
- OrtaProgram çalıştırma
UserAssist
Explorer üzerinden başlatılan program ve kısayollar için kullanıcıya özgü sayaçlar: ROT-13 adlar, çalıştırma sayıları ve son çalıştırma zamanları.
- OrtaKullanıcı etkinliği
Windows Zaman Çizelgesi (ActivitiesCache.db)
Windows Zaman Çizelgesi'nin dayandığı SQLite etkinlik geçmişi veritabanı; uygulama, dosya ve URL etkinliklerini JSON yükleri ve zamanlarla kaydeder.
- OrtaKullanıcı etkinliği
WordWheelQuery (arama terimleri)
Windows aramasına girilen arama terimlerini MRU listesine göre sıralanmış UTF-16LE dizeler olarak saklayan kullanıcıya özgü kayıt anahtarı.
- OrtaKalıcılık
Zamanlanmış görevler
System32\Tasks altındaki XML görev tanımları, bunların TaskCache kayıt defteri karşılıkları, eski .job dosyaları ve görev oluşturma olayları.
- OrtaDosya kaynağı
Zone.Identifier alternatif veri akışı (Mark of the Web)
Windows'un İnternet veya Kısıtlı siteler bölgesinden gelen dosyalara eklediği, [ZoneTransfer] ZoneId değeri içeren NTFS alternatif veri akışı.
- İleriDosya sistemi
$LogFile (NTFS üst veri işlem günlüğü)
Arıza sonrası tutarlılığı geri getiren NTFS üst veri işlem günlüğü; LSN değerleri MFT girdilerine bağlanan yeniden başlatma ve kayıt sayfaları.
Dosya sistemleri 4
Dosyaları, adları, boyutları ve zaman damgalarını kaydeden disk üzerindeki yapılar.
- OrtaDosya sistemi zaman damgaları
exFAT File dizin girdisi zamanları
exFAT File girdileri yerel oluşturma, değiştirme ve erişim zamanlarını 10 ms artışlar ve her zaman için 15 dakikalık adımlarla UTC farkıyla saklar.
- OrtaDosya sistemi zaman damgaları
FAT32 dizin girdisi zamanları
32 baytlık FAT dizin girdileri 10 ms ayrıntılı oluşturma zamanı, 2 saniye çözünürlüklü yazma zamanı ve yalnızca erişim tarihi tutar; hepsi yerel saattir.
- İleriDosya sistemi zaman damgaları
ext4 inode zaman damgaları
ext4 inode'ları atime, ctime, mtime, dtime ve crtime tutar; ek alanlar nanosaniye ve aralığı 2446'ya uzatan epoch bitleri ekler.
- İleriDosya sistemi zaman damgaları
NTFS $STANDARD_INFORMATION ve $FILE_NAME
Her NTFS MFT girdisi $SI ve $FILE_NAME içinde iki ayrı dörtlü FILETIME kümesi tutar; bunları karşılaştırmak zaman damgası oynamasına karşı temel kontroldür.
Tarayıcılar 9
Chromium ve Firefox profillerinde geçmiş, indirmeler, çerezler, oturumlar ve önbellek.
- TemelWeb geçmişi ve indirmeler
Chromium History veri tabanı
Chrome, Edge ve diğer Chromium tarayıcılarında ziyaret edilen URL'leri, tek tek ziyaretleri, indirmeleri ve adres çubuğu aramalarını tutan SQLite deposu.
- TemelWeb geçmişi ve indirmeler
Firefox places.sqlite (geçmiş ve yer imleri)
Firefox geçmiş deposu: moz_places URL'leri, ziyaret türleri ve PRTime zaman damgalarıyla moz_historyvisits, yer imleri, yazılan girdiler ve indirme notları.
- TemelWeb geçmişi ve indirmeler
Safari History.db
macOS'ta Safari geçmişi: history_items URL'leri ile başlık, yönlendirme bağları ve Mac mutlak zamanında (2001'den beri saniye) ziyaretler.
- OrtaÇerezler
Chromium Cookies veri tabanı
Chromium çerez deposu: alan adı, ad, yol, bölüm anahtarı, oluşturma, son erişim, son güncelleme ve bitiş zamanları, bayraklar ve son yazma kaynağı.
- OrtaWeb geçmişi ve indirmeler
Chromium Favicons veri tabanı
Sayfa URL'lerini simge URL'lerine ve PNG bit eşlemlerine bağlayan Chromium simge önbelleği; son güncelleme ve son istek zamanları History'yi destekler.
- OrtaKayıtlı kimlik bilgisi üst verisi
Chromium Login Data (üst veri)
Chromium'un kaydettiği kimlik bilgilerinin üst verisi: site, form alanları, kullanıcı adı, oluşturma, son kullanım, son doldurma, parola değişimi ve paylaşım.
- OrtaForm ve otomatik doldurma verileri
Chromium Web Data (otomatik doldurma)
Chromium otomatik doldurma deposu: form alanı adları ve girilen değerler, ilk ve son kullanım ile Web Data içindeki kayıtlı adres ve kart üst verisi.
- OrtaÇerezler
Firefox cookies.sqlite
Firefox çerez deposu moz_cookies: alan adı, ad, yol, köken öznitelikleri, bayraklar, ms cinsinden bitiş ve µs cinsinden oluşturma, erişim, güncelleme.
- OrtaForm ve otomatik doldurma verileri
Firefox formhistory.sqlite
Web formlarına ve arama çubuğuna girilen değerlerin Firefox deposu: alan adı, değer, kullanım sayısı, 1970'ten beri µs cinsinden ilk ve son kullanım.
Android 8
Android'de kullanım, iletişim ve bağlantıyı kaydeden sistem ve uygulama veri tabanları.
- TemelAramalar
Arama kaydı (calllog.db)
Kişiler sağlayıcısındaki Android arama geçmişi: numara, ms cinsinden başlangıç, süre, 1–7 arama türü, telefon hesabı ve özellik bayrakları.
- TemelKişiler
Kişiler sağlayıcısı (contacts2.db)
Android kişiler veri tabanı: hesap başına ham kişiler, birleştirilmiş kişiler, türlendirilmiş veri satırları ve 30 günlük silinen kişi günlüğü.
- TemelMesajlaşma
SMS/MMS veri tabanı (mmssms.db)
Android Telephony sağlayıcısının SMS ve MMS deposu: adresler, metinler, kutu/tür kodları, okundu bayrakları, konuşmalar ve MMS ekleri.
- OrtaMedya
Google Fotoğraflar uygulama veri tabanları (gphotos*.db)
Google Fotoğraflar yerel dizini: cihazdaki ve buluttaki medya satırları, çekim zamanları, saat farkları, koordinatlar, yedek klasörleri ve çöp kutusu.
- OrtaAğ
Kayıtlı Wi-Fi ağları (WifiConfigStore.xml)
Android Wi-Fi yapılandırma deposu: SSID, güvenlik türü, kimlik bilgileri ve üreticiye özgü zaman damgalarıyla kayıtlı ağ profilleri.
- OrtaUygulama kullanımı
Kullanım istatistikleri (usagestats)
UsageStatsService dosyaları: aralık başına uygulama özetleri ve ACTIVITY_RESUMED, ekran ve kilit ekranı geçişleri gibi olay günlükleri.
- OrtaYüklü uygulamalar
Paket yöneticisi ayarları (packages.xml)
Sistem packages.xml dosyası: yüklü paket adları, kod yolları, yükleyici ve ft/it/ut zaman öznitelikleri; Android 12'den itibaren ikili XML olabilir.
- İleriHesaplar
Hesap yöneticisi veri tabanları (accounts_ce.db / accounts_de.db)
AccountManagerService depoları: hesap adları ve türleri, CE depolamada kimlik belirteçleri, DE depolamada 64 satırlık hesap işlem günlüğü.
iOS 9
iPhone'da kullanım, iletişim ve konumu kaydeden sistem veri tabanları ve özellik listeleri.
- TemelAramalar
Arama geçmişi (CallHistory.storedata)
iOS Core Data arama deposu: hücresel, FaceTime ve CallKit uygulama aramaları için Cocoa başlangıç zamanı, süre ve yönlü ZCALLRECORD satırları.
- TemelKişiler
Kişiler veri tabanı (AddressBook.sqlitedb)
iOS kişiler deposu: ABPerson adları ve tarihleri, ABMultiValue telefon/e-posta/adres değerleri, ABStore kaynağı ve ayrı görüntü veri tabanı.
- TemelMesajlaşma
Mesajlar veri tabanı (sms.db)
SMS, MMS ve iMessage için iOS Mesajlar deposu: Apple epoch tarihli message, handle, chat ve attachment tabloları, okunma/teslim zamanları.
- TemelYedekler
Yedek özellik listeleri (Info.plist, Manifest.plist, Status.plist)
Cihaz kimliği, iOS sürümü, yedek tarihi, şifreleme durumu ve yüklü uygulamaları kaydeden yedek kök plist'leri ile cihazdaki yedek ayarları plist'i.
- OrtaAğ
Ağ veri kullanımı (DataUsage.sqlite)
iOS DataUsage.sqlite: işlem başına Wi-Fi ve hücresel bayt sayaçları, ilk görülme ve kullanım kaydı Cocoa zaman damgaları.
- OrtaYedekler
Bilgisayar yedeği dosya dizini (Manifest.db)
Finder/iTunes yedek dizini: karma fileID değerlerini domain ve relativePath ile eşleyen Files tablosu ve dosya başına meta veri plist'leri.
- OrtaMedya
Fotoğraf arşivi veri tabanı (Photos.sqlite)
iOS Photos.sqlite varlık kayıtları: dosya adları, oluşturma/ekleme/değiştirme/çöpe atma tarihleri, konum, kayıtlı varlık türü, çöp durumu ve yüzler.
- İleriYaşam örüntüsü
Biome akışları (SEGB dosyaları)
iOS 15+ Biome SEGB akış dosyaları: Cocoa zaman damgalı ve protobuf yüklü akış kayıtları; iOS 17'den itibaren v2 biçimi.
- İleriYaşam örüntüsü
CoreDuet bilgi deposu (knowledgeC.db)
Başlangıç/bitiş zamanlı knowledgeC.db ZOBJECT akışları: uygulama kullanımı, kilit ve arka ışık durumu, çalan medya, şarj ve pil olayları.
Mesajlaşma ve uygulamalar 5
Üçüncü taraf uygulama depoları: mesajlar, kişiler, ekler ve zaman kodlamaları.
- TemelMesajlaşma
Android için WhatsApp mesajları (msgstore.db)
WhatsApp Android mesaj deposu: sohbetler, JID'ler, ms zaman damgalı mesajlar, medya yolları, konumlar ve call_log; eski ve yeni şemalar.
- TemelMesajlaşma
iOS için WhatsApp mesajları (ChatStorage.sqlite)
WhatsApp iOS Core Data deposu: Cocoa tarihli ZWAMESSAGE satırları, ZWACHATSESSION sohbetleri, ZWAMEDIAITEM yolları, ContactsV2 ve arama depoları.
- OrtaKişiler
Android için WhatsApp kişileri (wa.db)
WhatsApp Android kişi deposu: wa_contacts JID'leri, adlar, numaralar, profil wa_name, durum metni ve zamanı, grup oluşturucu ayarları.
- İleriMesajlaşma
Android için Signal veri tabanı (signal.db)
Signal Android signal.db: message, thread, recipient ve attachment tablolu SQLCipher şifreli depo; anahtar Android Keystore ile mühürlenir.
- İleriMesajlaşma
Android için Telegram yerel önbelleği (cache4.db)
Telegram Android cache4.db: diyaloglar, serileştirilmiş TL blob'ları ve Unix saniye tarihli mesajlar, kullanıcılar, sohbetler, gizli sohbetler ve kişiler.
macOS 6
Birleşik günlükler, başlangıç öğeleri, karantina kayıtları ve diğer macOS izleri.
- TemelKalıcılık
Launch agent ve launch daemon öğeleri
Programları açılışta, oturum açmada veya tetikleyicilerle başlatan launchd özellik listeleri; macOS'un başlıca kalıcılık konumları ve anahtarları.
- Temelİndirmeler
QuarantineEventsV2 veri tabanı
Kullanıcı bazlı Launch Services karantina kaydı: ağdan alınan dosyalar için indiren uygulama, zaman, veri ve köken URL'leri ile karantina türü.
- OrtaUygulama kullanımı
macOS'ta KnowledgeC.db
macOS'ta CoreDuet bilgi deposu: /app/inFocus ve /display/isBacklit gibi akışlar, Mac mutlak zamanında başlangıç ve bitiş zamanlarıyla.
- İleriKlasör üst verisi
.DS_Store dosyaları
Finder'ın klasör bazlı üst veri deposu: dosya adına göre anahtarlanmış, görünüm ayarları, simge konumları, yorumlar ve tarihler içeren B-ağacı.
- İleriSistem günlükleri
Apple Birleşik Günlükleme (tracev3)
macOS 10.12+ ikili günlük deposu: /var/db/diagnostics içindeki tracev3 dosyaları ve /var/db/uuidtext'teki metinler; log show veya ayrıştırıcıyla okunur.
- İleriDosya sistemi etkinliği
FSEvents (.fseventsd)
Yol, olay kimliği ve değişiklik bayraklarını (oluşturma, silme, yeniden adlandırma, değiştirme) tutan birim bazlı fseventsd günlüğü; kayıtlarda zaman yoktur.
Linux 4
Linux'ta kimlik doğrulama günlükleri, systemd günlüğü, kabuk geçmişi ve kalıcılık.
- TemelKimlik doğrulama günlükleri
auth.log ve secure
sshd, sudo ve PAM gibi auth ve authpriv iletilerini toplayan metin syslog dosyaları: Debian ve Ubuntu'da auth.log, Red Hat tarzı sistemlerde secure.
- TemelKomut geçmişi
Kabuk geçmişi (bash ve zsh)
Etkileşimli kabuk komutlarının kullanıcı bazlı metin dosyaları; bash HISTTIMEFORMAT ile #epoch satırları, zsh EXTENDED_HISTORY ile başlangıç ve süre ekler.
- TemelOturum açma kayıtları
wtmp, btmp ve lastlog
İkili oturum muhasebesi: wtmp oturum açma, kapatma ve yeniden başlatma; btmp başarısız denemeler; lastlog UID bazında son oturum; hepsinde 32 bit zaman sınırı.
- OrtaSistem günlükleri
systemd journal
İkili journald dosyaları: güvenilir alanlar, önyükleme kimliği, gerçek zamanlı ve monoton mikrosaniye zaman damgası ve sıra numarası içeren kayıtlar.
Belgeler ve medya 3
Ofis belgelerine, PDF'lere ve görsellere gömülü üst veri.
- TemelGörüntü üst verisi
JPEG EXIF tarih, fark ve GPS etiketleri
JPEG APP1 kesimindeki Exif verisi: DateTimeOriginal ve ilgili zamanlar, OffsetTime* UTC farkları, saniye altı, kamera kimliği ve GPS IFD konum ve UTC zamanı.
- TemelBelge üst verisi
OOXML core.xml ve app.xml
Office Open XML özellik bölümleri: core.xml'de oluşturan, son değiştiren, revizyon ve W3CDTF tarihleri; app.xml'de uygulama, şablon, şirket ve düzenleme süresi.
- OrtaBelge üst verisi
PDF Info sözlüğü ve XMP üst verisi
PDF üst verisi iki yerde: trailer Info sözlüğü (D: tarihleri) ve kataloğun XMP akışı (ISO 8601 tarihleri, belge ve örnek kimlikleri).