Was steuert die Kadenz?

Die geplante Aufgabe unter \Microsoft\Windows\Application Experience\Microsoft Compatibility Appraiser. Trigger sind Idle-Time, zeitbasiert mit zufälliger Verzögerung und energiezustandsbewusst. Die Kadenz variiert je Build.

Warum ist der Appraiser auf Servern langsamer?

Microsoft drosselt ihn auf Server-SKUs, um Auswirkungen auf Produktionslasten zu minimieren. Server Core erhält die konservativste Konfiguration.

Kann ich ihn zwingen zu laufen?

Ja. Start-ScheduledTask -TaskPath '\Microsoft\Windows\Application Experience\' -TaskName 'Microsoft Compatibility Appraiser' aus erhöhter PowerShell. Nützlich während einer Triage, wenn Sie schnell frische Inventardaten brauchen.

Wie steht es mit der Erst-Gesehen-Genauigkeit?

KeyLastWriteTimestamp ist auf einer Workstation auf ~24 Stunden des tatsächlichen Eintreffens der Datei auf der Platte genau. Auf Servern auf mehrere Tage. Für Sub-Stunden-Präzision auf Sysmon 11 (File Create) oder MFT $STANDARD_INFORMATION.CreationTime zurückgreifen.

Was, wenn Amcache überhaupt nicht aktualisiert?

Den Zustand der geplanten Aufgabe und LastRunTime prüfen. AllowTelemetry=0 per GPO unter HKLM\SOFTWARE\Policies\Microsoft\Windows\DataCollection deaktiviert ihn ebenfalls. Gehärtete Server schalten den Appraiser routinemäßig ab.

Wie oft wird Amcache.hve aktualisiert?

Der Microsoft Compatibility Appraiser aktualisiert Amcache.hve etwa einmal täglich auf Windows-10/11-Workstations, alle 2-5 Tage auf Server mit Desktop Experience und wöchentlich oder länger auf Server Core. Der Trigger kombiniert Idle-Time-Detection, Zeit-Trigger mit zufälliger Verzögerung und Energiezustands-Bewusstsein (der Appraiser pausiert im Akkubetrieb). Für DFIR bedeutet das, dass eine frisch abgelegte Binärdatei auf einer Workstation bis zu 24 Stunden, auf einem Server bis zu mehreren Tagen nicht in Amcache auftauchen kann. Für feinere Erst-Gesehen-Präzision nutzen Sie Sysmon File Create oder MFT-Zeitstempel.

Wie oft wird Amcache aktualisiert?

Etwa täglich auf Windows-10/11-Workstations. Alle 2-5 Tage auf Server mit Desktop Experience. Wochen auf Server Core. Das ist die Antwort, die die meisten DFIR-Leute vorab hören müssen, denn Amcache hinkt der Realität hinterher, und Timelines, die darauf gebaut sind, müssen diese Verzögerung berücksichtigen.

Die Kadenz kommt aus der geplanten Aufgabe unter \Microsoft\Windows\Application Experience\Microsoft Compatibility Appraiser. Trigger kombinieren Idle-Detection mit einem Zeit-Trigger mit zufälliger Verzögerung, und der Appraiser pausiert im Akkubetrieb. Modern-Standby-Laptops können bei Intervallen von 36-48 Stunden landen, weil der Idle-Trigger seltener feuert, wenn das Gerät im Connected Standby ist.

Host-Typ	Typische Verzögerung vom On-Disk-Erscheinen zum Amcache-Eintrag
Windows-10/11-Workstation	Bis zu ~24 Stunden
Server mit Desktop Experience	2-5 Tage
Server Core	Bis zu einer Woche oder mehr
Laptop im Modern Standby	Bis zu 36-48 Stunden
Akkugebundenes Gerät	Variabel (Appraiser pausiert im Akkubetrieb)

Für Sub-Stunden-Präzision beim Erst-Gesehen nutzen Sie Sysmon 11 (File Create), Security 4688 Process Creation oder MFT $STANDARD_INFORMATION.CreationTime. Amcache ist exzellent für "irgendwann präsent". Sie ist schlecht für "in dieser exakten Sekunde präsent".

Erzwingen, dass er läuft#

Wenn Sie während einer Triage eine frische Hive brauchen:

Start-ScheduledTask `
  -TaskPath '\Microsoft\Windows\Application Experience\' `
  -TaskName 'Microsoft Compatibility Appraiser'
 
Get-ScheduledTaskInfo `
  -TaskPath '\Microsoft\Windows\Application Experience\' `
  -TaskName 'Microsoft Compatibility Appraiser'

Warten Sie 30-60 Sekunden, dann sammeln Sie die Hive und ihre .LOG1 / .LOG2 neu.

Wenn der Appraiser überhaupt nicht läuft#

Ein paar verbreitete Anzeichen:

Aufgabe ist Disabled, oder ihre LastRunTime entspricht dem Installationsdatum des Hosts.
HKLM\SOFTWARE\Policies\Microsoft\Windows\DataCollection\AllowTelemetry = 0 per GPO.
Verteilung von KeyLastWriteTimestamp stoppt zu einem vergangenen Zeitpunkt kalt.

Auf einem Host, auf dem der Appraiser deaktiviert ist, ist Amcache eingefroren. Sie ist kein nützliches Artefakt mehr für irgendetwas nach der Deaktivierung. Wechseln Sie stattdessen zu Sysmon, EDR, EVTX und den Registry-Hives.

Für die breitere Appraiser-Referenz siehe das Compatibility-Appraiser-Glossar. Für Server-Spezifika siehe Amcache auf Windows Server.

Wie oft wird Amcache aktualisiert?

Erzwingen, dass er läuft#

Wenn der Appraiser überhaupt nicht läuft#

Verwandte Beiträge