01Konum
- SYSTEM hive: ControlSet00n\Services\bam\UserSettings\<SID>
- SYSTEM hive: ControlSet00n\Services\bam\State\UserSettings\<SID>
- SYSTEM hive: ControlSet00n\Services\dam\UserSettings\<SID>
- SYSTEM hive: ControlSet00n\Services\dam\State\UserSettings\<SID>
02Yanıtladığı sorular
- Hangi yürütülebilir dosyalar hangi kullanıcı SID'i altında çalıştı?
- Her yürütülebilir dosyanın son çalıştırma kaydı ne zaman?
- Girdi paketlenmiş bir Windows uygulaması mıydı?
03Biçim ve sürümler
| Biçim | İzlenen her yürütülebilir dosya için aygıt yoluyla adlandırılmış bir değer (ör. \Device\HarddiskVolume1\…\powershell.exe). 24 baytlık veri: çalıştırma FILETIME değeri (ofset 0), 8 bilinmeyen bayt, Windows uygulaması olup olmadığını gösteren 4 baytlık bayrak (ofset 16) ve 2 olarak gözlenen 4 baytlık değer. |
|---|---|
| Geçerli olduğu sürümler | winreg-kb, BAM'in Windows 10'da 1709 sürümünden sonra kullanıma girmiş göründüğünü belirtir. |
04Temel alanlar
| Alan | Ne anlatır |
|---|---|
| <SID> key | Etkinliği kaydedilen kullanıcı. |
| Value name | Yürütülebilir dosyanın çekirdek aygıt yolu. |
| Execution time | Değer verisinin 0. ofsetindeki FILETIME. |
| Windows app flag | 16. ofsetteki 4 baytlık bayrak. |
05Zaman damgaları
| Alan | Kodlama | Not |
|---|---|---|
| Execution time | FILETIME (UTC) | Yürütülebilir dosya ve kullanıcı başına tek zaman; önceki çalıştırmalar değerde tutulmaz. |
Ham değerleri Zaman damgası çözücü, yerel saatleri ise Yerel saatten UTC'ye ile çözün.
06İnceleme akışı
- SYSTEM kovanının her denetim kümesindeki bam ve dam anahtarlarını ayrıştırın.
- SID'leri hesaplara çözün ve aygıt yollarını MountedDevices ile sürücü harflerine dönüştürün.
- Çalıştırma zamanlarını Prefetch, AppCompatCache, Amcache ve SRUM ile ilişkilendirin.
07Yorum tuzakları
- Anahtar yapısı Microsoft tarafından belgelenmemiştir; değer alanlarının yarısı bilinmemektedir.
- BAM'i getiren Windows sürümü kaynakta yalnızca yaklaşık olarak belirtilmiştir.
- Yürütülebilir dosya başına yalnızca en son çalıştırma zamanı tutulur.
09Kaynaklar
- Background activity moderator (BAM) libyal / winreg-kb · erişim 2026-10-14
- Windows artifact definitions (windows.yaml) ForensicArtifacts / artifacts · erişim 2026-10-14
- RECmd batch file Kroll_Batch.reb (key descriptions) Eric Zimmerman / Kroll (GitHub) · erişim 2026-10-14