Windows数字取证中ActivityCache（活动缓存）
在数字取证中，Windows 系统的 ActivityCache（活动缓存） 是一个关键的取证数据源，记录了用户行为、应用使用记录和系统交互信息。以下是其在取证中的核心作用及技术细节：
1. ActivityCache 的数据来源
Windows 10/11 中，ActivityCache 主要存储在以下位置：
- 数据库路径：
C:\Users\<用户名>\AppData\Local\ConnectedDevicesPlatform\<随机ID>\ActivitiesCache.db - 注册表关联：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\BackgroundAccessApplications（记录后台应用权限）。
2. 取证中的核心作用
(1) 用户行为时间线重建
- 记录内容：
- 应用程序启动记录（如 Word、浏览器、可疑程序）。
- 文件访问历史（文件名、路径、操作时间）。
- 网页浏览记录（部分浏览器活动可能同步至此）。
- 设备连接事件（USB、蓝牙等外设接入时间）。
- 时间戳精度：
使用 UTC 时间</