Forside › Windows-forensik · Gennemgået oktober 2026 · Af John Nielsen
System Resource Usage Monitor (SRUM) er en database, hvor Windows løbende samler forbrugsdata: hvor mange byte hvert program har sendt og modtaget over netværket, hvor meget det har læst og skrevet på disken, og hvilke netværk computeren har været forbundet til, fordelt på bruger og tidsinterval. I sager om dataoverførsel kan SRUM vise, at en browser eller en synkroniseringsklient sendte usædvanligt meget data i en bestemt time under en bestemt konto. Den kan ikke vise, hvilke filer der blev sendt, eller hvortil.
SRUM er nævnt kort i Windows-artefakter. Her gennemgås databasens indhold, begrænsninger og brug.
Hvor data ligger
Databasen hedder SRUDB.dat og ligger i mappen sru under System32. Den er en ESE-database, samme databaseformat som bruges af flere andre Windows-komponenter. Windows samler målinger i hukommelsen og skriver dem til databasen med jævne mellemrum, typisk omkring en gang i timen, og ved nedlukning. Nyere data kan derfor midlertidigt ligge andre steder end i selve databasen, og den seneste periode før sikringen kan mangle. Microsoft dokumenterer ikke databasens interne opbygning, intervaller eller opbevaringstid; det kendte bygger på uafhængig analyse og bør afprøves på samme Windows-version, hvis en tidsgrænse bærer en konklusion.
Databasen gemmer typisk data for de seneste uger. Ældre poster fjernes automatisk, så sikringen bør ske hurtigt, hvis den relevante periode ligger et stykke tilbage.
De vigtigste tabeller
- Netværksforbrug · Byte sendt og modtaget pr. program, bruger og netværksgrænseflade
- Programressourcer · CPU-tid samt byte læst og skrevet i forgrund og baggrund pr. program og bruger
- Netværksforbindelser · Hvor længe computeren har været forbundet til hvert netværk
- Energiforbrug · Batteri og opladning på bærbare
- Notifikationer · Push-notifikationer pr. program
En særskilt tabel, IdMap, oversætter interne numre til programstier, programnavne og brugeres SID. Uden den er de øvrige tabeller kun tal. Netværksgrænsefladen angives med et id, der kan kobles til netværksprofilerne i registreringsdatabasen, så det kan ses, om trafikken gik via virksomhedens netværk, et hjemmenetværk eller en mobil hotspot; se Registreringsdatabasen i en undersøgelse.
Opløsning og tidsstempler
Hver post dækker et tidsinterval, typisk en time, og tidsstemplet angiver, hvornår posten blev skrevet. Det betyder:
- Forbruget kan placeres i en time, ikke på et præcist tidspunkt.
- Tidsstemplet ligger ved slutningen af intervallet, ikke ved begyndelsen.
- Hvis computeren var i dvale eller slukket, kan et interval dække længere tid.
Tidsstemplerne er i UTC. De skal konverteres og præsenteres med samme tidszone som resten af tidslinjen.
Brug ved spørgsmål om upload
Et typisk spørgsmål er, om en medarbejder har uploadet store mængder data til en privat cloudtjeneste eller webmail før en fratræden. SRUM kan bidrage med:
- hvilke programmer der sendte mest data i perioden,
- om en browser eller en synkroniseringsklient sendte markant mere end normalt i bestemte timer,
- under hvilken konto forbruget blev registreret,
- over hvilket netværk trafikken gik.
Det sidste punkt har betydning, når virksomhedens egne firewall- og proxylogs intet viser. Gik trafikken via et hjemmenetværk eller en telefon, findes den kun på computeren. Sammenhold derfor med de netværksspor, der dækker virksomhedens net; se Firewall-logs teknisk.
SRUM er et indicium, der skal kombineres med andre spor: browserhistorik med besøg hos cloudtjenesten, synkroniseringsklientens egne logs, åbningsspor for de relevante filer og cloudtjenestens egne logs, hvis de kan fremskaffes. Hvordan sporene samles, er beskrevet i Upload til privat cloud, og planlægningen af hele undersøgelsen i Data taget ved fratræden.
Programressourcer som supplement
Tabellen over programressourcer kan vise, at et program har været aktivt i bestemte timer under en bestemt konto, og om det kørte i forgrunden eller baggrunden. Det kan supplere Prefetch, der ikke angiver bruger; se Prefetch, Amcache og Shimcache. Byte læst og skrevet til disk kan vise, at et program, fx et arkiveringsprogram, har behandlet store datamængder i et bestemt tidsrum.
Hvad SRUM ikke registrerer
Det er lige så vigtigt at kende hullerne som indholdet. SRUM registrerer ikke trafik fra andre enheder på samme netværk, ikke trafik fra virtuelle maskiner som et samlet billede af de enkelte programmer i dem, og ikke data, der kopieres til et USB-drev, som netværkstrafik. Kopiering til et lokalt drev kan dog vise sig som byte skrevet i tabellen over programressourcer. Kørte computeren et andet styresystem i perioden, eller blev en anden computer brugt, er der naturligvis heller intet.
Funktionen kan desuden være slået fra eller begrænset via politik, og på servere kan opsætningen afvige fra klienter. Kontrollér, at databasen faktisk indeholder data for andre perioder, før fravær af trafik i en bestemt periode tillægges betydning.
Delte computere
Fordi forbruget er knyttet til en brugers SID, kan SRUM skelne mellem konti på en computer, som flere har brugt. Det kan være afgørende, hvis en computer har været delt eller har skiftet hænder. Systemtrafik registreres under systemkonti og skal holdes adskilt fra brugernes.
Sikring og udtræk
SRUDB.dat er låst, mens systemet kører, og bør udtrækkes fra en forensisk kopi. Databasen er ofte i en “beskidt” tilstand, fordi den var åben ved sikringen. Værktøjer kan kræve, at databasen repareres eller genafspilles med transaktionsfiler, før den kan læses. Det skal altid ske på en arbejdskopi, og det skal dokumenteres, at reparationen er udført, med hvilket værktøj, og at originalen er uændret.
Tag også SOFTWARE-hiven med, fordi den indeholder oplysninger, der skal bruges til at forstå databasen, herunder netværksprofiler og eventuelle midlertidige data.
Fejlkilder
- Programnavn er ikke destination. En browser, der sender meget data, kan have uploadet til hvad som helst, også en legitim forretningstjeneste eller et videomøde.
- Baggrundstrafik: Opdateringer, backup, synkronisering af mail og cloudklienter genererer meget trafik uden brugerens aktive medvirken.
- Systemprocesser: Trafik kan være tilskrevet en systemproces eller en tjenestevært frem for det program, brugeren opfatter som afsender.
- Aggregering: En time med høj trafik kan dække flere separate handlinger.
- Huller: Perioder uden poster kan skyldes, at computeren var slukket, eller at data ikke nåede at blive skrevet.
- Parsere: Værktøjer har afkodet enkelte tabeller forskelligt. Kontrollér afgørende tal med et andet værktøj.
Det er god praksis at etablere en normal baseline for samme konto og program i uger uden mistanke. Først når afvigelsen fra det normale er kendt, kan en enkelt time med høj trafik vurderes.
Hvad SRUM kan og ikke kan bevise
SRUM kan vise, at et program under en bestemt konto sendte og modtog en bestemt mængde data over et bestemt netværk i et bestemt tidsrum. Den kan ikke vise indholdet, filnavne, destinationsadresser eller formålet. Formuleringen i rapporten skal afspejle det: “Browseren registrerede cirka så mange megabyte sendt i timen mellem … og …” er en observation. “Medarbejderen uploadede kundelisten” er en slutning, der kræver andre spor.
Dokumentation
Angiv kildefil, om databasen var beskidt, og hvordan den blev gjort læsbar, værktøj og version, tabeller, der er anvendt, opløsning og tidszone. For hver afgørende post angives program, bruger-SID, netværksgrænseflade, interval og de rå tal. Beskriv baseline og de alternative forklaringer, der er overvejet.
Kilder og versioner
- Microsoft Learn: Powercfg command-line options (srumutil)
- Forensic Artifacts KB: System Resource Usage Monitor (SRUM)
- SANS ISC: System Resource Utilization Monitor
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Windows-forensik
Læs også: USB-tidslinjen i Windows: første og sidste tilslutning, serienummer og drevbogstav · Papirkurven i Windows: $Recycle.Bin og hvad den afslører
→ Forensisk undersøgelse af en computer · For IT-sikkerhed og SOC · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
