Skip to content
BAM/DAMparser
Blog

Windows-Ausführungsspuren · SYSTEM-Hive

BAM/DAM Parser

Jedes Programm, das ein Benutzer gestartet hat, mit seiner letzten Ausführung — direkt aus dem SYSTEM-Hive. Im Browser per WebAssembly ausgewertet — nichts wird hochgeladen.

  • Pro Benutzer, pro SID
  • FILETIME auf 100 ns
  • Rust → WebAssembly, offline

SYSTEM-Hive hier ablegen

Legen Sie auch den SOFTWARE-Hive ab, um SIDs in Benutzernamen aufzulösen. Ordner und ZIP-Triage-Sammlungen (KAPE, Velociraptor) funktionieren direkt.

Synthetische Hives eines fiktiven Einbruchs — keine echten Daten.

100 % clientseitig: Hives werden per WebAssembly in Ihrem Browser ausgewertet und nie hochgeladen.

So kommen Sie an Ihre Daten

Zwei Hives, ein Admin-Befehl, unter einer Minute.

  1. SammelnSYSTEM exportieren (plus SOFTWARE für Benutzernamen).
  2. AblegenDateien, Ordner oder ZIP auf diese Seite ziehen.
  3. Bleibt lokalIm Browser ausgewertet; nichts wird hochgeladen.

Öffnen Sie auf dem laufenden Windows-Host PowerShell oder die Eingabeaufforderung mit „Als Administrator ausführen“ und fügen Sie eine dieser Zeilen ein.

PowerShell · Admin
New-Item -ItemType Directory -Force C:\triage | Out-Null; reg save HKLM\SYSTEM C:\triage\SYSTEM /y; reg save HKLM\SOFTWARE C:\triage\SOFTWARE /y
Eingabeaufforderung · Admin
mkdir C:\triage 2>nul & reg save HKLM\SYSTEM C:\triage\SYSTEM /y & reg save HKLM\SOFTWARE C:\triage\SOFTWARE /y

Sie erhalten C:\triage\SYSTEM und C:\triage\SOFTWARE. Legen Sie den Ordner C:\triage (oder beide Dateien) auf der Ablagefläche ab. reg save schreibt eine konsolidierte Kopie, daher sind auch Änderungen enthalten, die noch in den Transaktionsprotokollen stehen.

Stolperfallen

  • Eine normale Kopie scheitert, solange Windows läuft, und manche Backup-Tools liefern eine Datei voller Nullen: Verwenden Sie reg save oder ein Rohkopie-Werkzeug.
  • Windows löscht beim Booten BAM-Einträge, die älter als etwa eine Woche sind: Sammeln Sie vor jedem Neustart des Hosts.
  • Rohkopien können „dirty“ sein, die neuesten Ausführungen stehen dann noch in SYSTEM.LOG1/LOG2: Das Tool warnt, spielt sie aber nicht ein.

Was ist BAM?

Der Background Activity Moderator (BAM) ist ein Windows-Diensttreiber, eingeführt mit Windows 10 1709, der Hintergrund-Apps drosselt. Dazu speichert er pro Benutzer den vollständigen Pfad jeder ausführbaren Datei und den Zeitpunkt ihrer letzten Ausführung.

Der Desktop Activity Moderator (DAM) führt dieselbe Art von Aufzeichnung für Desktop-Apps im Modern Standby. Beide liegen im SYSTEM-Hive — eine kompakte, benutzerbezogene Quelle für Ausführungsnachweise.

Wo BAM und DAM gespeichert sind

  • Hive-Datei: C:\Windows\System32\config\SYSTEM
  • Windows 10 1809+ und Windows 11: ControlSet00X\Services\bam\State\UserSettings\<SID> (und dam\State\UserSettings)
  • Windows 10 1709–1803: ControlSet00X\Services\bam\UserSettings\<SID>
  • Jeder Wert ist nach einer ausführbaren Datei benannt (\Device\HarddiskVolumeN\… oder ein App-Paketname); seine Daten beginnen mit einem 8-Byte-FILETIME: der letzten Ausführung in UTC.

Warum das für Ermittlungen wichtig ist

  • Verknüpft ein Programm über die SID mit einem Benutzerkonto — anders als ShimCache oder Prefetch.
  • Liefert einen genauen Zeitstempel der zuletzt erfassten Aktivität des Programms (aktualisiert beim Start und beim Beenden), pro Benutzer.
  • Funktioniert unabhängig von Prefetch und hilft daher auch, wenn Prefetch deaktiviert ist.

Einschränkungen

  • Nur die letzte Ausführung wird gespeichert, weder die erste noch ein Zähler.
  • Windows entfernt beim Start Einträge, die älter als etwa eine Woche sind — also früh sichern.
  • Programme, die von Wechseldatenträgern oder Netzwerkfreigaben gestartet werden, erhalten keinen Eintrag, und Einträge gelöschter Programme werden beim nächsten Systemstart entfernt (Suhanov, 2020).
  • Pfade verwenden \Device\HarddiskVolumeN; ordnen Sie Volumes über andere Artefakte Laufwerksbuchstaben zu.

So sichern Sie den Hive

  • SYSTEM ist auf einem laufenden System gesperrt: sichern Sie ihn mit KAPE (Target !SANS_Triage oder RegistryHives), Velociraptor, FTK Imager oder reg save HKLM\SYSTEM.
  • Bewahren Sie SYSTEM.LOG1 und SYSTEM.LOG2 auf: einem Dirty Hive können die neuesten BAM-Schreibvorgänge fehlen, bis die Protokolle eingespielt sind.
  • Fügen Sie C:\Windows\System32\config\SOFTWARE hinzu, um jede SID über die ProfileList zu benennen.

FAQ

Wird mein Hive irgendwohin hochgeladen?

Nein. Der Parser ist in Rust geschrieben, nach WebAssembly kompiliert und läuft in einem Web Worker in Ihrem Browser. Es gibt keinen Upload-Endpunkt; nach dem Laden funktioniert die Seite auch offline.

Was ist der Unterschied zwischen BAM und DAM?

BAM moderiert die Hintergrundaktivität aller Apps; DAM tut dasselbe für Desktop-Apps auf Geräten mit Modern Standby. Die Schlüssel haben dasselbe Format; DAM enthält meist weniger Einträge.

Warum sehe ich dasselbe Programm in zwei Control Sets?

ControlSet002 ist oft eine ältere „letzte als funktionierend bekannte“ Kopie. Lassen Sie „Nur aktives Control Set“ aktiviert für den aktuellen Stand oder deaktivieren Sie es zum Vergleich mit dem älteren Stand.

Wie lange bleiben BAM-Einträge erhalten?

Windows entfernt beim Systemstart Einträge, die älter als etwa sieben Tage sind; BAM deckt daher vor allem jüngste Aktivität ab.

Welche Windows-Versionen haben BAM?

Windows 10 1709 und neuer sowie Windows 11. Ältere Versionen haben keinen BAM-Schlüssel. Das Verhalten unter Windows Server ist kaum dokumentiert: Prüfen Sie, ob der Schlüssel existiert.

Blog

Zum Blog