Notification toast

Le toast est le type de notification que les utilisateurs voient le plus : une petite fenêtre qui apparaît dans un coin de l'écran avec le nom de l'application, un titre, quelques lignes de texte et, en option, des images, des boutons ou une zone de réponse. Une fois disparu de l'écran, il reste dans le centre de notifications jusqu'à ce que l'utilisateur le ferme ou qu'il expire. Les applications émettent des toasts localement ou via les Windows Push Notification Services, sur un canal push WNS.

Le contenu d'un toast est défini en XML selon le schéma de contenu des toasts de Microsoft. Dans wpndatabase.db, un toast est une ligne Notification dont le Type vaut toast : son XML se trouve dans la colonne Payload, son émetteur dans HandlerId, et ses heures d'arrivée et d'expiration dans ArrivalTime et ExpiryTime, deux valeurs FILETIME en UTC. Tag et Group sont des étiquettes choisies par l'application pour remplacer ou retirer ses propres toasts ; les messageries y placent souvent un identifiant de message ou de conversation.

Pourquoi c'est important dans une investigation

Les toasts sont écrits par Windows pour le compte d'autres applications : ils conservent une copie de ce qui a été montré à l'utilisateur, même après la disparition de la source — un message de conversation supprimé, un fichier mis en quarantaine, un téléchargement déplacé. On y trouve typiquement des aperçus de messages, des alertes antivirus citant un chemin de fichier, des avis de téléchargement, des invites de lecteur amovible et des invites de connexion, chacun avec une heure UTC précise. Un toast prouve que le système a reçu la notification, pas que l'utilisateur l'a lue, et son absence ne prouve rien.

Exemple

Dans l'exemple fictif du site, un toast du navigateur à 10:02:04 UTC annonce « Download complete: tools.zip ». Son heure peut être rapprochée des horodatages $MFT du fichier, de l'historique du navigateur et du flux Zone.Identifier.

Termes associés

• XML du payload de notification
• Gestionnaire de notifications
• Freeblock SQLite, où subsistent les toasts fermés

Chargez l'exemple dans le Windows Notification Parser et suivez le cas d'investigation pour voir des toasts dans une chronologie.