Où SRUM est-il stocké ?

C:\Windows\System32\sru\SRUDB.dat — une base de données ESE (le même format que la base de données Active Directory et les boîtes aux lettres Exchange).

Temps CPU par application, mémoire working-set, octets réseau envoyés et reçus, activité de notifications push, et estimations de consommation d'énergie. La granularité est d'une heure par application.

Jusqu'où SRUM remonte-t-il dans le temps ?

30 à 60 jours typiquement, selon le build Windows et la configuration. SRUM est agrégé quotidiennement en agrégats à long terme.

Quelle est la différence entre SRUM et Amcache ?

SRUM enregistre l'utilisation des ressources sur une fenêtre de 30-60 jours ; Amcache enregistre la présence de fichiers avec des métadonnées riches sur des mois à années. SRUM est le seul artefact Windows avec des totaux d'octets réseau par application — inestimable pour les investigations d'exfiltration.

Quel outil parse SRUM ?

SrumECmd (l'outil d'Eric Zimmerman) pour la sortie CSV, srum-dump (Mark Baggett) pour Excel, ou tout parser ESE si vous voulez gérer le format manuellement.

Qu'est-ce que SRUM (SRUDB.dat) ? (glossaire)

SRUM (System Resource Usage Monitor) est une base de données ESE Windows qui enregistre l'utilisation des ressources par application — CPU, mémoire, réseau, notifications push et énergie — bucketé par heure. Il vit à C:\Windows\System32\sru\SRUDB.dat et est maintenu par le service SRUM pour alimenter les volets « Utilisation des données » et « Utilisation de l'alimentation » dans les Paramètres Windows.

Pour le DFIR, SRUM est le seul artefact Windows avec des totaux d'octets réseau par application, ce qui le rend essentiel pour les investigations d'exfiltration de données.

Tables clés#

Table	Enregistre
`Application Resource Usage`	CPU, octets de working-set, temps au premier plan, E/S.
`Network Usage`	Octets envoyés et reçus par application par heure.
`Push Notification`	Activité toast / push.
`Energy Estimation`	Estimations de consommation d'énergie.

Chaque ligne est indexée par application (chemin d'exécutable ou AppID) et bucket d'une heure.

SRUM vs Amcache#

	SRUM	Amcache
Stockage	`SRUDB.dat` (ESE)	`Amcache.hve` (ruche de registre)
Granularité	Par app, par heure	Par fichier
Enregistre le hash ?	Non	Oui (SHA-1)
Enregistre l'exécution ?	Oui, implicitement	Non (présence uniquement)
Enregistre les octets réseau ?	Oui	Non
Rétention	30–60 jours	Mois à années
Bucketing	Heure	Seconde (heures d'écriture de clés)

Ils sont complémentaires, pas chevauchants. L'association classique : SRUM identifie l'activité réseau suspecte par binaire ; Amcache identifie le hash et les métadonnées du binaire ; Prefetch confirme les heures d'exécution exactes. Les trois ensemble vous donnent le tableau complet d'une intrusion d'exfiltration de données.

Pour une couverture complète, voir Amcache vs SRUM.

Quand SRUM gagne#

« Combien ce binaire a-t-il envoyé sur le réseau ? » — SRUM est le seul artefact Windows avec cette réponse.
« Quelles apps ont utilisé le CPU la semaine dernière ? » — SRUM a des buckets horaires.
« Quel était le profil de ressources de l'hôte autour de l'incident ? » — SRUM est ce qui se rapproche le plus, dans Windows, d'un enregistreur de performance toujours actif.

Outils de parsing#

SrumECmd (Eric Zimmerman) — produit des CSVs structurés par table.
srum-dump (Mark Baggett) — produit des classeurs Excel codés par couleur. Excellent pour les briefings aux parties prenantes.

Termes apparentés#

Amcache.hve — l'artefact de preuve de présence.
Prefetch — preuve d'exécution.
ShimCache — cache loader côté noyau.