01Konum
- C:\Windows\System32\sru\SRUDB.dat
02Yanıtladığı sorular
- Hangi uygulamalar, hangi kullanıcı için ve hangi zaman aralığında kaynak tükettiler?
- Bir uygulama kaç bayt gönderdi ve aldı?
- Hangi ağ arabirimleri veya profiller, ne kadar süre bağlıydı?
- Bir uygulamanın ön plan ve arka plan etkinliği nasıl karşılaştırılıyor?
03Biçim ve sürümler
| Biçim | Extensible Storage Engine (ESE/EDB) veritabanı. Tablolar arasında SruDbIdMapTable (IdType, IdIndex, IdBlob; IdType 3 = SID), {D10CA2FE-6FCF-4F6D-848E-B2E99266FA89} Uygulama Kaynak Kullanımı, {973F5D5C-1D90-4944-BE8E-24B94231A174} Ağ Veri Kullanımı, {DD6636C4-8929-4683-974E-22C046A43763} Ağ Bağlantı Kullanımı, {FEE4E14F-02A9-4550-B5CE-5FA2DA202E37} Enerji Kullanımı ve {DA73FB89-2BEA-4DDC-86B8-6E048C6DA477} Enerji Tahmincisi bulunur. |
|---|---|
| Geçerli olduğu sürümler | esedb-kb'de Windows 10 test verisiyle belgelenmiştir; Windows 8 kapsamı hâlâ yapılacak olarak işaretlidir. |
04Temel alanlar
| Alan | Ne anlatır |
|---|---|
| AppId / UserId | SruDbIdMapTable üzerinden uygulama dizelerine ve SID'lere çözülen IdIndex değerleri. |
| ForegroundCycleTime / BackgroundCycleTime | Uygulama Kaynak Kullanımı tablosundaki CPU döngü sayaçları. |
| Foreground/Background BytesRead and BytesWritten | Uygulama başına disk G/Ç miktarları. |
| BytesSent / BytesRecvd | Uygulama, arabirim (InterfaceLuid) ve profil (L2ProfileId) başına ağ baytları. |
| ConnectedTime / ConnectStartTime | Ağ Bağlantı Kullanımı tablosunda bağlantı süresi ve başlangıç zamanı. |
05Zaman damgaları
| Alan | Kodlama | Not |
|---|---|---|
| TimeStamp (all provider tables) | OLE Automation date | Kullanım kaydının zamanı; bir işlemin başlangıcı değildir. |
| ConnectStartTime | FILETIME | Bağlantı tablosunda ağ bağlantısının başlangıcı. |
Ham değerleri Zaman damgası çözücü, yerel saatleri ise Yerel saatten UTC'ye ile çözün.
06İnceleme akışı
- SRUDB.dat'ı (ve ilgili ESE dosyalarını) kopyalayın ve veritabanı durumunu denetleyin; dirty-shutdown durumundaki veritabanı kullanılmadan önce kurtarma gerektirir.
- SruDbIdMapTable'ı dışa aktarın ve her sağlayıcı tablosunda AppId ile UserId'yi çözün.
- OLE Automation tarihlerini ve FILETIME değerlerini UTC'ye çevirin, uygulama bazlı zaman çizelgeleri oluşturun.
- Çalıştırma bağlamı için Prefetch, BAM ve olay günlükleriyle ilişkilendirin.
07Yorum tuzakları
- Satırlar kullanım kayıtlarıdır; tek tek işlem başlatmalarını veya komut satırlarını kaydetmez.
- Sağlayıcı tabloları ve sütunları kurulu SRUM uzantılarına bağlıdır; bazı sağlayıcılar yalnızca kısmen tanımlanmıştır.
- dirty-shutdown durumundaki bir ESE veritabanı kurtarılmadan tam kabul edilmemelidir.
09Kaynaklar
- System Resource Usage Monitor (SRUM) database libyal / esedb-kb (J. Metz) · erişim 2026-10-14
- System Resource Usage Monitor ForensicArtifacts / artifacts-kb · erişim 2026-10-14
- Extensible Storage Engine (ESE) Database File (EDB) format libyal / libesedb (J. Metz) · erişim 2026-10-14