À quelle fréquence Amcache est-il mis à jour ?
Environ quotidiennement sur les stations Windows 10/11. Tous les 2 à 5 jours sur Server avec Desktop Experience. Des semaines sur Server Core. C'est la réponse que la plupart des gens du DFIR doivent entendre d'emblée, parce qu'Amcache retarde sur la réalité, et les timelines bâties dessus doivent en tenir compte.
La cadence vient de la tâche planifiée à \Microsoft\Windows\Application Experience\Microsoft Compatibility Appraiser. Les déclencheurs combinent la détection d'inactivité avec un déclencheur temporel à délai aléatoire, et l'appraiser saute les exécutions sur batterie. Les portables en Modern Standby peuvent rester sur des intervalles de 36 à 48 heures parce que le déclencheur d'inactivité tire moins souvent quand l'appareil est en connected standby.
| Type d'hôte | Décalage typique entre fichier sur disque et entrée Amcache |
|---|---|
| Station Windows 10/11 | Jusqu'à ~24 heures |
| Server avec Desktop Experience | 2 à 5 jours |
| Server Core | Jusqu'à une semaine ou plus |
| Portable en Modern Standby | Jusqu'à 36-48 heures |
| Appareil sur batterie | Variable (l'appraiser saute sur batterie) |
Pour une précision sous l'heure sur le premier-vu, utilisez Sysmon 11 (File Create), Security 4688 création de processus, ou MFT $STANDARD_INFORMATION.CreationTime. Amcache excelle pour "présent à un moment donné". Elle est mauvaise pour "présent à cette seconde précise".
Le forcer à tourner#
Si vous avez besoin d'une ruche fraîche pendant le triage :
Start-ScheduledTask `
-TaskPath '\Microsoft\Windows\Application Experience\' `
-TaskName 'Microsoft Compatibility Appraiser'
Get-ScheduledTaskInfo `
-TaskPath '\Microsoft\Windows\Application Experience\' `
-TaskName 'Microsoft Compatibility Appraiser'Attendez 30 à 60 secondes, puis recollectez la ruche et ses .LOG1 / .LOG2.
Quand l'appraiser ne tourne pas du tout#
Quelques signes courants :
- La tâche est
Disabledou sonLastRunTimecorrespond à la date d'installation de l'hôte. HKLM\SOFTWARE\Policies\Microsoft\Windows\DataCollection\AllowTelemetry = 0par GPO.- La distribution de
KeyLastWriteTimestamps'arrête net à une date passée.
Sur un hôte où l'appraiser est désactivé, Amcache est gelée. Ce n'est plus un artefact utile pour quoi que ce soit après la désactivation. Basculez plutôt sur Sysmon, EDR, EVTX et les ruches du registre.
Pour la référence plus large sur l'appraiser, voir le glossaire du Compatibility Appraiser. Pour les spécificités Server, voir Amcache sur Windows Server.
Articles liés
- Où se trouve la clé de registre Amcache ?
Amcache est sa propre ruche, pas une clé sous HKLM. Chargée à la demande par l'appraiser. Montée sur HKLM\Amcache quand active.
- Amcache.hve est-il un fichier de log ?
Non. C'est une ruche de registre au même format binaire que SYSTEM et NTUSER.DAT. Un arbre de clés typées, pas un flux append-only plat.
- Qu'est-ce que le Compatibility Appraiser ? (glossaire)
La tâche planifiée qui parcourt le système de fichiers, inventorie les fichiers PE et écrit les enregistrements dans Amcache.hve. Comprenez sa cadence, sinon vous lirez mal votre timeline.
- Forensique Amcache : comment trouver des preuves d'exécution
Prouvez qu'un programme a tourné sous Windows avec Amcache.hve : acquérir, parser, filtrer, pivoter sur le SHA-1, corroborer — et les limites qui piègent.