Aller au contenuAller à l'arborescence
Arborescence Windows
  1. C:
  2. Windows
  3. System32
  4. sru
DossierRisque : Prudence

sru C:\Windows\System32\sru

C:\Windows\System32\sru : base SRUDB.dat du System Resource Usage Monitor (SRUM), historique de l'usage des applications ; artefact clé en forensique.

Mis à jour le Par AltF4 Formation

À quoi ça sert

sru contient la base de données du System Resource Usage Monitor (SRUM), qui historise l’activité des applications sur la machine : consommation réseau, énergie, processeur. Ces données alimentent notamment l’historique des applications du Gestionnaire des tâches. En investigation numérique, c’est aussi l’un des artefacts les plus parlants pour savoir ce qui a tourné et ce qui a transféré des données.

Ce qu’il contient

  • SRUDB.dat, la base SRUM, au format ESE.
  • Les fichiers de journal de transactions ESE associés (.log, .chk), comme pour ntds.dit.
  • Les tables d’extensions SRUM, décrites dans le Registre sous HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SRUM\Extensions.

Risques et bonnes pratiques

  • Un service écrit en permanence dans SRUDB.dat : le fichier est verrouillé et ne se supprime pas à chaud.
  • Pour une collecte forensique, copiez-le avec esentutl /y ... /vss, qui passe par une copie d’ombre. Un copier-coller depuis l’Explorateur échoue.
  • La base révèle des habitudes d’usage : applications lancées, volume de données par application. Traitez ses copies comme des données personnelles.

Commandes utiles

Fenêtre de terminal
# Fichiers du dossier (lecture seule)
Get-ChildItem "$env:windir\System32\sru" -Force | Select-Object Name, Length, LastWriteTime


# Extensions SRUM déclarées dans le Registre
Get-ChildItem 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SRUM\Extensions' | Select-Object PSChildName
Fenêtre de terminal
:: En administrateur : copie de la base verrouillée via une copie d'ombre
esentutl.exe /y C:\Windows\System32\sru\SRUDB.dat /vss /d C:\Temp\SRUDB.dat

Signaler une erreur