Glosario
knowledgeC.db
knowledgeC.db es la base SQLite de CoreDuet donde macOS registra patrones de uso: app en primer plano, pantalla encendida y bloqueo, por flujos.
knowledgeC.db es una base de datos SQLite que escribe el framework CoreDuet de Apple. Registra «patrones de uso» (pattern of life) como intervalos, cada uno asociado a un flujo (stream) como /app/usage, /app/inFocus, /display/isBacklit o /device/isLocked, y guardado como una fila de la tabla ZOBJECT.
Un Mac tiene dos copias: la base del sistema en /private/var/db/CoreDuet/Knowledge/knowledgeC.db (propiedad de root y restringida por SIP) y una base por usuario en ~/Library/Application Support/Knowledge/knowledgeC.db (protegida por TCC, por lo que el proceso de recopilación necesita Acceso total al disco). Ambas funcionan en modo WAL: recopile knowledgeC.db-wal y knowledgeC.db-shm junto con el archivo principal, o pueden faltar los eventos más recientes.
La retención ronda las cuatro semanas, y las versiones recientes de macOS han trasladado varios flujos, entre ellos el primer plano de las apps, a Biome. Consulte la guía de análisis forense de knowledgeC.db.