@port139 Blog

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

ActivitiesCache.dbとアクティビティ削除

アクティビティを削除し、ActivitiesCache.db内でどのような変化が発生するかを確認します。テスト環境は Win 10 1803 です。

 サンプルのJPEG画像ファイルを参照し、アクティビティを作成します。

f:id:hideakii:20180526062232p:plain

Activityテーブルでレコードを確認します。38番レコードにJPEG画像ファイルの情報があります。

f:id:hideakii:20180526063200p:plain

アクティビティから項目を削除します。

f:id:hideakii:20180526063510p:plain

 Activityテーブルで38番レコードを再度確認します。(ジャーナルファイルを含めてデータベースファイルを参照)

f:id:hideakii:20180526063959p:plain

レコードが残っており、情報を確認する事ができます。

また、ActivityOperationテーブルに、レコードが追加されている事を確認できます。

f:id:hideakii:20180526065029p:plain

ActivityOperationテーブルには、OperationTypeというカラムがあります。3は削除操作という意味でしょうか?

f:id:hideakii:20180526065723p:plain

アクティビティを一つ削除しましたが、このテーブルには2つのレコードが登録されています。

また、これら2件のレコードについては、Etag値はActivityテーブルとActivityOperationテーブルで異なるようです。

先週テストしたアクティビティのデータを削除してみます。

f:id:hideakii:20180526070643p:plain

 

f:id:hideakii:20180526070728p:plain

Activityテーブルでは、削除したアクティビティに関する情報を確認できます。

f:id:hideakii:20180526071318p:plain

 ActivityOperationテーブルを確認します。AppActivityIdは同じですが、ActivityType 6のレコードだけが追加されています。ActivityType 5 のレコードは追加されていません。

f:id:hideakii:20180526071751p:plain

いずれのレコードも、OperationTypeは3になっています。

 

これらのレコードが本当に削除されるのは何時でしょうか?

 

参考URL:

 

 

f:id:hideakii:20180526061902j:plain