Tables SRUM expliquées : AppResource, Network, Energy, Push

Vue d’ensemble

SRUDB.dat est une base Extensible Storage Engine (ESE). La plupart de ses tables portent des noms GUID entre accolades, qui identifient une extension SRUM — un fragment de télémétrie collecté périodiquement (toutes les 60 minutes par défaut, toutes les 10 secondes lors des changements d’alimentation).

Plus deux tables de contrôle :

• SruDbIdMapTable — joint les IDs entiers vers les chemins d’app ou SIDs
• SruDbCheckpointTable — état interne de flush

Utilisation des ressources

Activité par application échantillonnée toutes les heures. Chaque ligne indique qui a exécuté quoi, quand, et à quel coût.

Colonnes clés :

• TimeStamp — borne de bucket
• AppId, UserId — clés étrangères vers SruDbIdMapTable
• ForegroundCycleTime, BackgroundCycleTime — cycles CPU (pas secondes)
• FaceTime — durée pendant laquelle l’UI était visible
• ForegroundBytesRead, ForegroundBytesWritten — I/O disque au premier plan
• ForegroundNumReadOperations / NumWriteOperations / NumberOfFlushes
• Équivalents arrière-plan pour toutes les colonnes I/O

La variante « long terme » ({...}LT) agrège les mêmes lignes en buckets hebdomadaires, conservée jusqu’à un an.

Utilisation des données réseau

Octets envoyés et reçus par application sur chaque profil réseau.

• InterfaceLuid — LUID Windows de l’interface
• L2ProfileId — ID opaque résoluble contre la ruche SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Profiles pour le nom SSID/filaire lisible
• L2ProfileFlags — bitmask : 0x100 = filaire, 0x200 = sans-fil, 0x400 = WWAN
• BytesSent, BytesRecvd — compteurs depuis le dernier échantillon

Combiné avec la résolution AppId, ceci répond à « combien de Mo chrome.exe a-t-il envoyés sur mon Wi-Fi entre 14h00 et 15h00 ? »

Connectivité réseau

Quand le système s’est connecté et déconnecté de chaque réseau.

• ConnectStartTime — FILETIME d’association
• ConnectedTime — durée en secondes
• InterfaceLuid, L2ProfileId, L2ProfileFlags — comme ci-dessus

Utile pour placer un appareil sur un réseau précis à un instant précis.

Utilisation de l’énergie

Télémétrie batterie et source d’alimentation. Échantillonnée à chaque transition d’état d’alimentation.

• EventTimestamp — FILETIME de la transition
• StateTransition — branchement/débranchement secteur, entrée/sortie veille, batterie faible
• ChargeLevel, CycleCount, ConfigurationHash
• DesignedCapacity, FullChargedCapacity (mWh)
• ActiveAcTime, CsAcTime, ActiveDcTime, CsDcTime — compteurs d’uptime par source

La variante « LT » suit la dégradation de la santé batterie sur des mois.

Notifications push

Pour les apps Modern qui utilisent le Windows Push Notification Service.

• NotificationType — toast, tile, badge, raw
• PayloadSize — octets du corps de notification
• NetworkType — interface qui l’a livrée

Résolution : SruDbIdMapTable

Chaque table de données contient AppId et UserId en petits entiers. Pour les rendre lisibles, vous joignez contre SruDbIdMapTable :

L’analyseur en page d’accueil fait cette jointure automatiquement — ouvrez n’importe quel onglet de table SRUM et les colonnes AppId / UserId affichent la chaîne résolue quand disponible, ou #42 quand l’IdMap n’a pas d’entrée.

Pour aller plus loin

• Qu’est-ce que SRUM et pourquoi cela intéresse les analystes forensiques
• Investigation forensique avec SRUM
• Le format de base ESE derrière SRUDB.dat
• Déposez un fichier dans l’analyseur SRUM pour voir chaque table en direct.