SRUM (System Resource Usage Monitor) - это компонент системы, основная цель которого - отслеживать использование ресурсов системой, таких как CPU, память, дисковое пространство и сетевой трафик.
База данных SRUM находится по следующему пути:
C:\Windows\System32\sru\SRUDB.dat
Прелесть в том, что из из нее можно узнать о запускаемых процессах в системе, от чьего имени они запускались, в какое время и как долго были активны, об их сетевой активности и используемых ресурсах. И все это за последние несколько дней. Это может быть крайне полезно в тех случаях, когда логи скомпрометированной машины были потерты или требуется получить чуть больше информации о контексте выполнения вредоносных процессов.
В качестве инструмента, который может помочь получить доступ к этой информации можно использовать
srum-dump.https://github.com/MarkBaggett/srum-dump/
#DFIR #srum