Wie oft wird Amcache aktualisiert?

Etwa täglich auf Windows-10/11-Workstations. Alle 2-5 Tage auf Server mit Desktop Experience. Wochen auf Server Core. Das ist die Antwort, die die meisten DFIR-Leute vorab hören müssen, denn Amcache hinkt der Realität hinterher, und Timelines, die darauf gebaut sind, müssen diese Verzögerung berücksichtigen.

Die Kadenz kommt aus der geplanten Aufgabe unter \Microsoft\Windows\Application Experience\Microsoft Compatibility Appraiser. Trigger kombinieren Idle-Detection mit einem Zeit-Trigger mit zufälliger Verzögerung, und der Appraiser pausiert im Akkubetrieb. Modern-Standby-Laptops können bei Intervallen von 36-48 Stunden landen, weil der Idle-Trigger seltener feuert, wenn das Gerät im Connected Standby ist.

Host-Typ Typische Verzögerung vom On-Disk-Erscheinen zum Amcache-Eintrag
Windows-10/11-Workstation Bis zu ~24 Stunden
Server mit Desktop Experience 2-5 Tage
Server Core Bis zu einer Woche oder mehr
Laptop im Modern Standby Bis zu 36-48 Stunden
Akkugebundenes Gerät Variabel (Appraiser pausiert im Akkubetrieb)

Für Sub-Stunden-Präzision beim Erst-Gesehen nutzen Sie Sysmon 11 (File Create), Security 4688 Process Creation oder MFT $STANDARD_INFORMATION.CreationTime. Amcache ist exzellent für "irgendwann präsent". Sie ist schlecht für "in dieser exakten Sekunde präsent".

Erzwingen, dass er läuft#

Wenn Sie während einer Triage eine frische Hive brauchen:

Start-ScheduledTask `
  -TaskPath '\Microsoft\Windows\Application Experience\' `
  -TaskName 'Microsoft Compatibility Appraiser'
 
Get-ScheduledTaskInfo `
  -TaskPath '\Microsoft\Windows\Application Experience\' `
  -TaskName 'Microsoft Compatibility Appraiser'

Warten Sie 30-60 Sekunden, dann sammeln Sie die Hive und ihre .LOG1 / .LOG2 neu.

Wenn der Appraiser überhaupt nicht läuft#

Ein paar verbreitete Anzeichen:

  • Aufgabe ist Disabled, oder ihre LastRunTime entspricht dem Installationsdatum des Hosts.
  • HKLM\SOFTWARE\Policies\Microsoft\Windows\DataCollection\AllowTelemetry = 0 per GPO.
  • Verteilung von KeyLastWriteTimestamp stoppt zu einem vergangenen Zeitpunkt kalt.

Auf einem Host, auf dem der Appraiser deaktiviert ist, ist Amcache eingefroren. Sie ist kein nützliches Artefakt mehr für irgendetwas nach der Deaktivierung. Wechseln Sie stattdessen zu Sysmon, EDR, EVTX und den Registry-Hives.

Für die breitere Appraiser-Referenz siehe das Compatibility-Appraiser-Glossar. Für Server-Spezifika siehe Amcache auf Windows Server.

Tagsqaforensicswindowsamcacheappraiser

Verwandte Beiträge

  • Ist Amcache.hve eine Protokolldatei?

    Nein. Es ist eine Registry-Hive im selben Binärformat wie SYSTEM und NTUSER.DAT. Ein Baum typisierter Keys, kein flacher Append-Only-Stream.

  • Was ist der Compatibility Appraiser? (Glossar)

    Die geplante Aufgabe, die das Dateisystem durchläuft, PE-Dateien inventarisiert und die Datensätze in Amcache.hve schreibt. Verstehen Sie ihre Kadenz, oder lesen Sie Ihre Timeline falsch.

  • Warum ist meine Amcache.hve leer?

    Drei häufige Ursachen: Der Compatibility Appraiser ist deaktiviert, der Host wurde frisch installiert oder Sie sammeln von einem Server / Server Core, auf dem der Appraiser viel seltener läuft.

  • Wo ist der Amcache-Registry-Schlüssel?

    Amcache ist eine eigene Hive-Datei unter C:\Windows\AppCompat\Programs\Amcache.hve — kein Schlüssel unter HKLM. Beim Laden durch Tools oder durch Windows selbst wird sie als HKLM\Amcache eingehängt.

← Zurück zu allen Beiträgen