Ressources par application
Cycles CPU au premier plan et en arrière-plan, octets lus et écrits, par application et SID.
SRUDB.dat · WebAssembly · 100 % local
Analyseur SRUMLisez le compteur de ressources de Windows.
SRUM enregistre quelles applications ont tourné, le CPU consommé, les octets envoyés et les passages sur batterie — sur 30 à 60 jours. Déposez SRUDB.dat ou un ZIP de triage complet et investiguez ici même.
- Sans envoi, sans compte
- ZIP KAPE & Velociraptor
- Export CSV / JSON
L’exemple est un SRUDB.dat synthétique issu d’une intrusion fictive (poste FIN-WKS-07) — aucune donnée réelle. Astuce : dans Utilisation des données réseau, cliquez sur l’horodatage 10:57 de rclone.exe pour centrer la plage horaire sur l’exfiltration.
Comment récupérer SRUDB.dat
D’un poste Windows aux résultats en deux minutes : copiez la base verrouillée avec une seule commande, puis déposez-la ci-dessus.
- Collectez SRUDB.dat en une commande
- Déposez le fichier, le dossier sru ou le ZIP de collecte ici
- L’analyse se fait dans votre navigateur — rien n’est envoyé
RecommandéWindows 10 / 11 ou Server 2016+. À lancer dans une invite de commandes ou un PowerShell administrateur (/vss exige les droits admin).
cmd /c "mkdir C:\triage 2>nul & esentutl /y C:\Windows\System32\sru\SRUDB.dat /vss /d C:\triage\SRUDB.dat"Déposez ensuite C:\triage\SRUDB.dat ici. La copie est en général dans l’état Dirty Shutdown : l’outil la lit et vous le signale.
Option : copie propre avec rejeu des journaux
Avec /vssrec sru ., esentutl rejoue les fichiers SRU*.log dans le cliché : la copie est en Clean Shutdown et contient les derniers enregistrements validés. En cas d’échec, utilisez la commande ci-dessus.
cmd /c "mkdir C:\triage\clean 2>nul & cd /d C:\Windows\System32\sru && esentutl /y SRUDB.dat /vssrec sru . /d C:\triage\clean\SRUDB.dat"KAPE
Invite administrateur dans le dossier de KAPE. La cible SRUM copie tout le dossier sru (journaux compris) et la ruche SOFTWARE par lecture brute du disque : le verrou n’est pas un problème.
kape.exe --tsource C: --tdest C:\triage\kape --target SRUMDéposez le dossier C:\triage\kape (ou un ZIP de ce dossier) tel quel : C\Windows\System32\sru\SRUDB.dat est trouvé automatiquement, les autres fichiers sont listés comme non utilisés.
Velociraptor
- Collectez l’artefact
Windows.Triage.Targetsavec la cibleSRUM(anciennes versions :Windows.KapeFiles.Targets, cochezSRUM), via un hunt ou un collecteur hors ligne. - Déposez le ZIP de collecte tel quel. Laissez le collecteur hors ligne sans chiffrement, ou extrayez d’abord le ZIP : un ZIP protégé par mot de passe ne peut pas être ouvert dans le navigateur.
Windows.Forensics.SRUManalyse sur le poste et renvoie des lignes, pas la base : collectez le fichier lui-même pour utiliser cet outil.
- Montez l’image en lecture seule (Arsenal Image Mounter, ou FTK Imager → File → Image Mounting) et déposez le dossier
Windows\System32\srudu lecteur monté. Aucun verrou sur une image montée. - FTK Imager sans montage : ajoutez l’image comme preuve, allez dans
Windows\System32\sru, clic droit sur le dossier → Export Files…, puis déposez le dossier exporté.
mmls image.E01
fls -r -p -o <offset> image.E01 | grep -i "system32/sru/"
icat -o <offset> image.E01 <inode> > SRUDB.dat<offset> est le secteur de début de la partition Windows (NTFS) listée par mmls ; <inode> est le numéro avant SRUDB.dat dans la sortie de fls (p. ex. 12345-128-4). Déposez le SRUDB.dat obtenu.
- Base SRUM · Windows 8 / Server 2012 et ultérieurs
C:\Windows\System32\sru\SRUDB.dat - Dossier complet : SRU.chk, SRU*.log, *.jrs · utile seulement pour rejouer une copie « dirty » avec esentutl
C:\Windows\System32\sru\ - Après une mise à niveau sur place : la base de l’installation précédente
C:\Windows.old\Windows\System32\sru\SRUDB.dat
- Déposez SRUDB.dat seul, tout le dossier
sru, un dossier de collecte ou son ZIP : la base est trouvée automatiquement et, s’il y en a plusieurs, l’outil indique laquelle il a ouverte. - Pas besoin de la ruche SOFTWARE : les noms d’applications et d’utilisateurs sont résolus depuis SRUDB.dat (la ruche n’ajoute que les noms des profils réseau, dans un outil registre).
- Pas de SRUM sous Windows 7 et versions antérieures.
Pièges courants
- « Fichier en cours d’utilisation » ou Accès refusé avec une copie simple : le service de stratégie de diagnostic garde SRUDB.dat verrouillé. Utilisez
/vss(en admin), KAPE ou une image plutôt que d’arrêter le service sur la machine examinée. - SRUM écrit dans sa base environ une fois par heure et une copie à chaud est souvent Dirty Shutdown : la dernière heure d’activité peut manquer. Utilisez l’option de copie propre, ou collectez tout le dossier et rejouez les journaux (guide ci-dessous).
- Rétention d’environ 30 jours de lignes horaires (tables Long Term : jusqu’à environ un an, par semaine). Collectez tôt ; toutes les heures sont affichées en UTC.
Guide d’acquisition complet →Réparer un SRUDB.dat « dirty » →
7tables SRUM décodées
0octet envoyé
OuiFonctionne hors ligne
Tout ce que SRUM enregistre, décodé
La base ESE est lue par un parseur Rust compilé en WebAssembly. Les identifiants d’applications et d’utilisateurs sont résolus via SruDbIdMapTable, les FILETIME deviennent des dates UTC, les indicateurs reçoivent des libellés lisibles.
Données réseau
Octets envoyés et reçus par application et interface, avec libellés Wi-Fi / filaire / mobile.
Énergie et connectivité
Transitions batterie/secteur, veille connectée et durée de connexion de chaque profil réseau.
Règles d’anomalies
Transferts sortants massifs, binaires exécutés une seule fois et activité hors heures signalés.
Comparer deux machines
Différence entre deux SRUDB.dat : applications propres à chacun et plus fortes variations sortantes.
Pensé pour les grosses bases
Tables virtualisées avec tri, filtre, colonnes redimensionnables et épinglables, sessions enregistrées.
De la preuve aux réponses en trois étapes
Collecter
Copiez C:\Windows\System32\sru\ (copie brute/VSS) ou lancez une collecte KAPE / Velociraptor.
Déposer
Déposez SRUDB.dat, le ZIP de collecte entier ou son dossier. La base est trouvée automatiquement.
Investiguer
Pivotez par application, repérez les anomalies, tracez l’activité par heure et exportez l’essentiel.
Outils associés
Les artefacts qui répondent à la question suivante de la même enquête.
BAM/DAM Parser
BAM donne la dernière exécution par utilisateur pour les mêmes applications.
Windows Timeline Parser
ActivitiesCache.db montre quelle application et quel document étaient utilisés, et combien de temps.
Prefetch Parser
Prefetch confirme l'exécution avec le nombre et les dates des derniers lancements.
Questions fréquentes
Qu’est-ce que SRUDB.dat ?
SRUDB.dat est la base de données utilisée par le System Resource Usage Monitor (SRUM) de Windows. Elle enregistre par application les cycles CPU, le temps au premier ou à l’arrière-plan, les octets réseau et la consommation d’énergie, sur environ 30 à 60 jours.
Mon fichier est-il envoyé sur un serveur ?
Non. L’analyse se fait entièrement dans votre navigateur via WebAssembly. Le fichier déposé ne quitte jamais votre appareil — aucun endpoint d’upload n’existe.
Où trouver SRUDB.dat sur une machine Windows ?
Le fichier réside dans C:\Windows\System32\sru\SRUDB.dat. Le service SRUM le maintient ouvert ; la plupart des analystes le récupèrent depuis une image forensique ou un snapshot de volume.
L’analyseur nécessite-t-il une connexion Internet ?
Non. Une fois la page et le module WASM mis en cache, l’analyse fonctionne entièrement hors ligne.
Quels navigateurs sont supportés ?
Tout navigateur moderne compatible WebAssembly — Chrome, Edge, Firefox, Safari, Brave sur ordinateur. Testé principalement sur la dernière version de Chromium.
Vos preuves ne quittent jamais cet onglet.
Aucun serveur, aucune télémétrie sur le contenu des fichiers. Fermez l’onglet et tout disparaît — sauf si vous enregistrez la session dans ce navigateur.