55、技术探索：Windows系统资源监控与低功耗电路及磁悬浮系统研究

技术探索：Windows系统资源监控与低功耗电路及磁悬浮系统研究

一、Windows系统资源使用监控（SRUM）

在Windows 8系统中，微软推出了系统资源使用监控（SRUM）这一全新的诊断功能。该功能能够对计算机中运行的所有程序和应用的系统资源消耗进行跟踪。

1. 监控参数与数据存储

   • SRUM主要监控五个关键的系统消耗参数，分别是连接性、应用程序资源使用、网络资源使用、能源使用以及Windows推送通知。
   • 每个参数都被分配了一个唯一的全局唯一标识符（GUID）。这些参数数据由系统进程Svchost.exe读取，每小时存储一次到Windows注册表（HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SRUM\Extensions）中，随后数据会从注册表刷新到位于\Windows\System32\sru目录下的SRUDB.dat文件里。由于该文件是操作系统文件，且为人类不可读格式，无法直接提取，需要借助FTK Imager等工具进行提取，并将其作为输入提供给SRUM - DUMP.exe，最终得到包含五个参数系统资源数据的.xls文件。

2. 法证分析价值

   • SRUM在文件使用和信息研究以及事件干预方面具有重要价值。它能保护和记录系统中所有已执行或正在执行的应用程序的路径和名称，即便这些应用被攻击者删除。同时，它还存储执行程序的用户安全标识符（SID），有助于追踪使用临时账户获取权限并在删除账户