01Konum
- C:\Users\<user>\AppData\Local\ConnectedDevicesPlatform\L.<user>\ActivitiesCache.db
02Yanıtladığı sorular
- Kullanıcı hangi uygulama, dosya ve URL'lerle ne zaman etkileşime girdi?
- Bir uygulama ne kadar süre odakta kaldı?
- Kayıtlar aynı hesaba bağlı başka bir cihazdan mı geliyor (PlatformDeviceId)?
03Biçim ve sürümler
| Biçim | SQLite veritabanı. Kullanıcı etkinliği Activity, ActivityOperation ve Activity_PackageId tablolarında tutulur; Metadata, ManualSequence ve (1809'dan itibaren) DataEncryptionKeys de bulunur. AppId ve Payload sütunları JSON içerir. |
|---|---|
| Geçerli olduğu sürümler | İlk kez Windows 10 1803'te görülmüştür. Microsoft etkinlik geçmişinin yerel olarak saklandığını belirtir; Microsoft'a gönderme seçeneği Ocak 2024 güncellemesiyle Windows 11 22H2/23H2'de kullanımdan kaldırılmıştır. |
04Temel alanlar
| Alan | Ne anlatır |
|---|---|
| AppId | Platform/uygulama tanımlayıcılarından oluşan JSON dizisi. |
| Payload | İçeriği etkinlik ve platform türüne göre değişen JSON verisi. |
| ActivityType | Araştırma yorumu: 5 uygulama/dosya/URL açma, 6 uygulamanın odakta olması gibi görünmektedir. |
| StartTime / EndTime | Etkinlik başlangıcı ve bitişi; bunlardan hesaplanan süreler JSON'dakilerden farklı olabilir. |
| LastModifiedTime / ExpirationTime | Sona erme, LastModified'dan tam 30 gün sonra olarak gözlenmiştir. |
| PlatformDeviceId | Kullanıcının DeviceCache kayıt defteri anahtarında eşleştirilebilen cihaz tanımlayıcısı. |
05Zaman damgaları
| Alan | Kodlama | Not |
|---|---|---|
| StartTime / EndTime / LastModifiedTime / ExpirationTime | Unix epoch seconds (UTC) | Kaynaktaki analize göre UTC olarak saklanır. |
Ham değerleri Zaman damgası çözücü, yerel saatleri ise Yerel saatten UTC'ye ile çözün.
06İnceleme akışı
- ActivitiesCache.db'yi klasördeki eşlik eden dosyalarla birlikte kopyalayın.
- Activity ve ActivityOperation tablolarını sorgulayın; AppId ve Payload JSON'undan alanları çıkarın.
- Epoch zamanlarını UTC'ye çevirin ve PlatformDeviceId ile yerel etkinliği eşitlenmiş etkinlikten ayırın.
- Jump List'ler, LNK dosyaları ve SRUM ile ilişkilendirin.
07Yorum tuzakları
- ActivityType anlamları Microsoft belgelerinden değil bağımsız araştırmalardan gelir.
- Kullanıcılar Ayarlar'dan etkinlik geçmişinin yerel olarak saklanmasını kapatabilir veya geçmişi temizleyebilir.
- Girdiler son değişiklikten yaklaşık 30 gün sonra sona erer; bu geriye bakış süresini sınırlar.
09Kaynaklar
- Activities Cache Database ForensicArtifacts / artifacts-kb · erişim 2026-10-14
- Windows activity history and your privacy Microsoft Support · erişim 2026-10-14
- An examination of Win10 ActivitiesCache.db database kacos2000 (GitHub Pages) · erişim 2026-10-14
- WxTCmd README Eric Zimmerman (GitHub) · erişim 2026-10-14
- Windows artifact definitions (windows.yaml) ForensicArtifacts / artifacts · erişim 2026-10-14