Qu'est-ce que SRUM (SRUDB.dat) ? (glossaire)

SRUM est la base ESE qui enregistre l'usage des ressources par application sous Windows. Temps CPU, working set, octets réseau, notifications push, estimations d'énergie. Une ligne par application et par heure. La rétention tourne autour de 30 à 60 jours. Elle alimente les volets « Utilisation des données » et « Utilisation de l'alimentation » que personne ne regarde, sauf le DFIR.

Pour la réponse à incident, la fonctionnalité clé, ce sont les compteurs d'octets réseau par application. SRUM est le seul artefact sur la machine qui vous dit combien un binaire individuel a envoyé ou reçu. Si vous travaillez sur un cas d'exfiltration et que vous ne vérifiez pas SRUM, vous laissez des preuves sur la table.

Les tables qui comptent#

Table	Ce qu'elle porte
Application Resource Usage	Temps CPU, octets working-set, temps en premier plan, I/O.
Network Usage	Octets envoyés et reçus par appli et par heure.
Push Notification	Activité de toasts et de push.
Energy Estimation	Estimations de consommation.

Chaque ligne est indexée par chemin d'application (ou AppID) et une tranche d'une heure.

SRUM vs Amcache#

	SRUM	Amcache
Stockage	SRUDB.dat (ESE)	Amcache.hve (ruche de registre)
Granularité	Par appli, par heure	Par fichier
Enregistre un hash	Non	Oui
Enregistre l'exécution	Implicitement (usage non nul = exécuté)	Non, présence seulement
Enregistre les octets réseau	Oui	Non
Rétention	30 à 60 jours	Mois à années
Précision temporelle	Une heure	Secondes (temps d'écriture de clé)

Ils sont complémentaires, pas redondants. L'appariement canonique : SRUM vous dit qu'un binaire a envoyé des gigaoctets entre 14:00 et 17:00, Amcache vous dit ce qu'est réellement ce binaire (hash, éditeur, date de lien), Prefetch vous donne les temps d'exécution exacts qui s'alignent sur les tranches SRUM. Trois artefacts, image complète.

Pour la comparaison complète, voir Amcache vs SRUM.

Quand SRUM est le bon artefact#

• « Combien de réseau ce binaire a-t-il envoyé ? » Rien d'autre sur Windows ne répond à cela proprement.
• « Quelles applications ont utilisé le CPU la semaine dernière, par heure ? » SRUM est ce que Windows fournit de plus proche d'un enregistreur de performance toujours actif.
• « À quoi ressemble le profil de ressources de l'hôte autour de la fenêtre d'incident ? » Les pics de CPU ou de réseau pointent souvent directement vers une activité d'attaquant.

Analyse#

• SrumECmd (Eric Zimmerman). CSV structuré par table.
• srum-dump (Mark Baggett). Excel coloré.

Termes liés#

• Amcache.hve
• Prefetch
• Shimcache