01Konum
- /private/var/db/CoreDuet/Knowledge/knowledgeC.db
- ~/Library/Application Support/Knowledge/knowledgeC.db
02Yanıtladığı sorular
- Hangi uygulama ön plandaydı ve ne kadar süre?
- Ekran ne zaman açıktı (arka ışık)?
- Cihaz ne zaman güce bağlandı?
- /safari/history akışında hangi Safari geçmiş kayıtları tutuldu?
03Biçim ve sürümler
| Biçim | SQLite 3 veri tabanı. Ana tablo ZOBJECT; ZSTARTDATE, ZENDDATE ve ZCREATIONDATE Mac mutlak zamanıdır (2001-01-01 UTC'den bu yana saniye). |
|---|---|
| Geçerli olduğu sürümler | Yayımlanmış analiz macOS 10.13 ve iOS 11'i kapsar. Akışlar ve şema sürümler arasında farklıdır; incelenen sürümde hangilerinin dolu olduğunu doğrulayın. |
04Temel alanlar
| Alan | Ne anlatır |
|---|---|
| ZOBJECT.ZSTREAMNAME | Akış adı; örneğin /app/inFocus, /app/activity, /app/intents, /activity/level, /device/isPluggedIn, /display/isBacklit, /safari/history. |
| ZOBJECT.ZVALUESTRING | Kaydın değeri; örneğin bir uygulamanın paket kimliği. |
| ZOBJECT.ZSECONDSFROMGMT | Kayıtla birlikte saklanan, GMT'den saniye cinsinden fark. |
| ZOBJECT.ZSTARTDAYOFWEEK | Başlangıç zamanının haftanın günü. |
| ZSOURCE, ZSTRUCTUREDMETADATA | Kayıtların kaynağını ve ek üst verisini tutan ilişkili tablolar. |
05Zaman damgaları
| Alan | Kodlama | Not |
|---|---|---|
| ZSTARTDATE, ZENDDATE | Mac absolute time: seconds since 2001-01-01 00:00:00 UTC | Unix saniyesi için 978307200 ekleyin; aradaki fark süreyi verir. |
| ZCREATIONDATE | Mac absolute time: seconds since 2001-01-01 00:00:00 UTC | Kaydın yazıldığı an; ZENDDATE'ten sonra olabilir. |
Ham değerleri Zaman damgası çözücü, yerel saatleri ise Yerel saatten UTC'ye ile çözün.
06İnceleme akışı
- Sistem veri tabanını ve her kullanıcı veri tabanını varsa -wal dosyalarıyla kopyalayın.
- Bu sürümün hangi akışları doldurduğunu görmek için farklı ZSTREAMNAME değerlerini listeleyin.
- ZSTARTDATE/ZENDDATE'i UTC'ye çevirin ve akış ile değer bazında süreleri hesaplayın.
- Uygulama odak sürelerini birleşik günlükler ve dosya sistemi etkinliğiyle çapraz kontrol edin.
07Yorum tuzakları
- Yayımlanmış analiz ZOBJECT'te yaklaşık dört haftalık kayıt bildirir; daha eski etkinlik bulunmayabilir.
- Akış adları ve anlamları Apple tarafından belgelenmemiştir, araştırmalardan çıkarılmıştır; test sistemlerinde doğrulayın.
- Odak süresi bir uygulamanın önde olduğunu gösterir, bir kişinin ona baktığını göstermez.
09Kaynaklar
- Knowledge is Power! Using the macOS/iOS knowledgeC.db Database to Determine Precise User and Application Usage Sarah Edwards, mac4n6.com (2018) · erişim 2026-10-14
- ForensicArtifacts — artifacts/data/macos.yaml ForensicArtifacts project (GitHub) · erişim 2026-10-14
- CFAbsoluteTime Apple Developer Documentation · erişim 2026-10-14