Glossaire
UTC et heure locale dans les artefacts Windows
Pourquoi certains artefacts Windows enregistrent l'UTC et d'autres l'heure locale, et comment la clé TimeZoneInformation aide à normaliser une chronologie.
La plupart des artefacts Windows stockent l'heure en UTC, généralement au format FILETIME : horodatages NTFS dans la $MFT, dates de dernière écriture du Registre et enregistrements des journaux d'événements sont tous en UTC. Une minorité enregistre l'heure locale, qui varie selon le fuseau configuré et l'heure d'été. Mélanger les deux sans correction est l'un des moyens les plus sûrs de décaler une chronologie de plusieurs heures.
Parmi les sources connues en heure locale figurent les horodatages du système de fichiers FAT (Microsoft indique que FAT stocke les dates en heure locale, alors que NTFS utilise l'UTC) et le journal d'installation des périphériques setupapi.dev.log, souvent utilisé pour dater la première connexion d'un périphérique USB. Les journaux texte propres à chaque application doivent être vérifiés au cas par cas.
Pour convertir les heures locales de façon fiable, lisez la configuration du fuseau horaire dans la ruche SYSTEM (voir Ruches du Registre) :
SYSTEM\<ControlSet>\Control\TimeZoneInformation
Les valeurs utiles sont TimeZoneKeyName (le nom du fuseau), Bias (décalage en minutes, avec UTC = heure locale + bias) et ActiveTimeBias (le décalage actuellement appliqué, heure d'été comprise). La date de dernière écriture de la clé peut indiquer quand le fuseau a été modifié pour la dernière fois, mais la clé ne reflète que le réglage actuel : si le fuseau a changé pendant la période étudiée, les horodatages locaux plus anciens peuvent exiger un autre décalage. Tout normaliser en UTC avant de construire une super-chronologie évite la plupart des erreurs.
Artefacts concernés
- Artefacts des navigateurs (Chrome, Edge, Firefox)Fiche navigateurs : fichiers de profil Chromium et Firefox, tables History et places.sqlite, horodatages WebKit et PRTime, téléchargements, cookies, cache.
- Assistant Compatibilité des programmes (PCA)Fiche PCA : fichiers PcaAppLaunchDic.txt et PcaGeneralDb de Windows 11, clé AppCompatFlags Store, champs et horodatages UTC des lancements.
- Base des notifications (wpndatabase.db)Fiche base des notifications Windows : tables de wpndatabase.db, Payload XML des toasts, ArrivalTime et ExpiryTime en FILETIME, récupération WAL, appdb.dat.
- Client de synchronisation OneDriveFiche OneDrive : clés de registre du compte, métadonnées SyncEngineDatabase.db et <CID>.dat, journaux ODL, SafeDelete.db, fichiers à la demande et analyse.
- Fichiers de données Outlook (PST et OST)Fiche Outlook PST/OST : emplacements des fichiers, messages et éléments supprimés, cache Content.Outlook, clés de profil, nouvel Outlook et analyse.
- Historique des périphériques USBFiche forensique USB : clés USBSTOR et USB, numéros de série, première et dernière connexion, lettres de lecteur, setupapi.dev.log et événements.
- Historique du presse-papiersFiche presse-papiers : ce que Windows 10/11 garde en mémoire, éléments épinglés sur disque, texte du presse-papiers cloud dans ActivitiesCache.db et registre.
- Journaux du pare-feu WindowsFiche pare-feu Windows : format et réglages de pfirewall.log, événements de règles 2004-2006, audit WFP 5156/5157, règles dans le registre et abus de netsh.
- Journaux du serveur web IISFiche journaux IIS : emplacement des logs W3C par site, horodatage UTC, champs par défaut, HTTPERR, applicationHost.config et chasse aux webshells sur Windows.
- Journaux et historique PowerShellForensique PowerShell : journaux 4103/4104, événements 400/403/800, historique PSReadLine ConsoleHost_history.txt, transcriptions et clés de stratégie.
- Messageries de bureau (Slack, Signal, WhatsApp…)Fiche messageries de bureau : où Slack, Signal, WhatsApp, Telegram et Discord stockent leurs données sous Windows, chiffrement, horodatages et exports.
- Microsoft Teams (client classique et nouveau client)Fiche Microsoft Teams : dossiers de l'ancien et du nouveau client, messages et appels en IndexedDB LevelDB, journaux, exports Purview ou Graph comme référence.
- Notepad TabState (Windows 11)Fiche Notepad TabState : fichiers .bin des onglets du Bloc-notes Windows 11, texte jamais enregistré, chemins des fichiers, hashs, WindowState et analyse.
- Profils réseau (NetworkList)Fiche NetworkList : profils réseau, SSID, adresses MAC de passerelle, première et dernière connexion (heure locale), profils WLAN et événements WLAN.
- SRUM (System Resource Usage Monitor)Fiche SRUM : tables et GUID de SRUDB.dat, octets réseau et temps CPU par application, enregistrements horaires UTC, rétention de 30 à 60 jours, réparation ESE.
- Sticky Notes (plum.sqlite et StickyNotes.snt)Fiche Sticky Notes : table Note de plum.sqlite et horodatages en ticks .NET sous Windows 10/11, ancien StickyNotes.snt, récupération via le WAL, collecte.
- Windows Recall (instantanés des PC Copilot+)Fiche Windows Recall : magasin CoreAIPlatform, ukg.db et ImageStore, texte OCR et titres de fenêtres, chiffrement VBS, activation volontaire et limites.
- Windows Timeline (ActivitiesCache.db)Fiche Windows Timeline : ActivitiesCache.db et WAL, tables Activity, valeurs ActivityType, durée au premier plan, presse-papiers, expiration à 30 jours.