编者按
2018年4月 1803版本正式推出了时间线功能，可以让用户在设备上搜索最长30天前的所有任务，时间线可以显示你之前所开启的应用和文档，让你可以快速拾起之前的工作。这就好像浏览器历史的视觉化，只不过范围扩大到了整个系统。
时间线提供跨设备甚至跨平台支持。这意味着用户不仅可以在Win10设备之间迁移无阻，甚至只要登录微软账号，便可以在或安卓手机上继续之前在电脑上的工作。对时间线功能的预研和数据提取，可以实现部分的文件溯源分析功能，刻画出文件的生命曲线。本期美亚柏科技术专家，将为大家打来Win10时间线功能的解析分享。
01
如何使用时间线
如何访问时间线
点击搜索框右侧的“任务视图”按钮便可以打开时间线视图。也可以使用”” + “Tab” 快捷键开启时间线视图。
（图1：”任务视图”按钮位置）
如果任务栏上没有显示任务视图”按钮，那可能是被隐藏了，右击任务栏并选择显示“任务视图”按钮，便可以重新开启该功能。
（图2：显示“任务视图”按钮）
时间线默认的视图是当前任务+今天早些时候的任务历史视图，用户可以通过滑块回到更早的时间历史。一般情况下时间线视图只会展示4天的信息，如果要回看30天内更多的信息，则需要登录微软账号。
（图3：时间线视图）
直接点击某项任务，或者右击打开，即可继续之前的工作。
（图4：打开时间线任务）
通常，时间线会展示每个日期的主要活动缩略图，如果查看更多的文件和应用，可以点击日期后面的链接-“查看所有XX次活动”。如果要返回之前的视图，只需点击“仅查看主要活动”链接。
（图5：左-主要活动缩略图，右-所有活动视图）
想要快速定位任务的话，可以使用搜索功能。
（图6：搜索指定时间线任务）
用户可以删除特定时间线项，或者清除某个日期的所有活动记录。移除一个时间线记录，并不会删除实际的文档，仅仅只是从时间线历史移除而已。右击想删除的活动缩略图，选择“删除”。如果想清除该日期的所有活动记录，选择点击“清除从xxx起的所有内容”。
（图7：删除时间线任务）
如何同步电脑间的时间线
时间线是默认开启的，只有用户许可才能同步数据到云端。如果本地电脑数据同步到云端，那么使用相同微软账号登录的PC端便可以看到这些同步的信息。有两种方式可以开启同步功能。
方法一
下拉到时间线底部，“在时间线中查看更多的日期”标题下，点击”登录”按钮登录微软账号。
（图8：登录微软账号）
方法二
转到设置->隐私->活动历时记录，选择”允许将我的活动从此电脑同步到云”。
（图9：设置页面允许同步）
如何禁用时间线
如果用户不想使用时间线功能，可以转到设置->隐私->活动历时记录，取消“允许从此电脑中收集我的活动”选项。
如果用户想清除时间线内容，需要将所有出现在“显示账户活动”下的账号设置为“关闭”，并点击”清理”按钮。
（图10：禁用时间线）
02
Win10时间线数据探秘
.db数据库
时间线信息存放在C:mL.[|ADD. |随机字符串]目录下的.db文件中。使用取证软件加载.db，下面是以美亚柏科取证大师为例，从签名可以看出.db为数据库。
（图11：数据库文件签名）
.db内容分析
.db包含7张数据表：、、、、、、.
其中只有、、三张表记录用户的活动信息。
（1）表
表记录活动的详细信息，包括操作的文档以及关联的应用程序。
其中为活动标识，分为三种格式：
a.类似GUID的字符串;
b.类似GUID的字符串字符标志
c.URL
字段标识了活动对应的应用，不同的应用具有不同的哈希值。
字段表明活动类型。当为5时，表明了该活动为打开操作，该操作包括应用、文档、以及URL的打开；当为5时,表明该活动为应用交互操作。
字段对应，分为两种格式。当为5时，记录了活动标题、应用名、文件路径/URL;当为6时，记录了应用交互的时间。
下面表格为对应的和的内容展示：
5-“打开的应用/文件/URL”
6-“应用交互”
"":".exe",
"":"ms-:", "":".exe",
"":"black"
"type":"", "":"",
"s":685,
"ion":{
"":600
},
"":"Asia/"
（表1：和内容）
（2）表
表包含最近30天内执行的应用程序信息，这些信息包括执行程序路径，执行程序名称，以及记录过期时间。
（3）表
表与表的内容大致相同，保存了从时间线界面移除的活动记录信息。
（4）表
表记录了数据库中最后一个活动记录的ETAG值。
（5）表
表包含了.db创建的日期和时间。
7张表格的内容如下图所示：
（图12：时间线数据库表格内容）
对Win10时间线信息进行取证，可以获取用户打开的应用、文档以及网页信息，取证示例结果如下图所示：
（图13：使用取证大师获取Win10时间线信息）
03
总结
新颖的时间线功能方便了用户的工作，也追踪记录了大量的用户信息，解析时间线数据对文件溯源分析有着重要意义。
美亚柏科一直关注行业动向，注重产品的完善拓展，着力提升对用户的服务品质和用户体验。本次Win10时间线取证操作中，我们应用到了取证大师。后续我们也将在取证大师V6的后续版本中支持时间线信息的提取，以呈现给用户更加优质的服务，敬请期待。
发表回复