Glossar
knowledgeC.db
knowledgeC.db ist die SQLite-Datenbank von CoreDuet, in der macOS Nutzungsmuster wie App-Fokus, Bildschirm- und Sperrstatus als Streams speichert.
knowledgeC.db ist eine SQLite-Datenbank, die Apples Framework CoreDuet schreibt. Sie erfasst Nutzungsmuster („pattern of life“) als Zeitintervalle, jeweils einem Stream wie /app/usage, /app/inFocus, /display/isBacklit oder /device/isLocked zugeordnet und als Zeile der Tabelle ZOBJECT gespeichert.
Ein Mac hat zwei Exemplare: die Systemdatenbank unter /private/var/db/CoreDuet/Knowledge/knowledgeC.db (gehört root, durch SIP eingeschränkt) und eine Datenbank pro Benutzer unter ~/Library/Application Support/Knowledge/knowledgeC.db (durch TCC geschützt, der sichernde Prozess braucht also Festplattenvollzugriff). Beide laufen im WAL-Modus: Sichern Sie knowledgeC.db-wal und knowledgeC.db-shm zusammen mit der Hauptdatei, sonst können die jüngsten Ereignisse fehlen.
Die Aufbewahrung beträgt etwa vier Wochen, und neuere macOS-Versionen haben mehrere Streams, darunter den App-Fokus, nach Biome verlagert. Siehe den Leitfaden zur forensischen Analyse von knowledgeC.db.