Clave de registro BAM: dónde está y cómo recopilarla
Rutas exactas de BAM y DAM según la versión de Windows, por qué CurrentControlSet no existe sin conexión y cómo adquirir SYSTEM con sus registros.
TL;DR. BAM está en la colmena SYSTEM, en ControlSet00X\Services\bam\State\UserSettings\<SID> (Windows 10 1809+ y 11) o ControlSet00X\Services\bam\UserSettings\<SID> (1709–1803). DAM sigue el mismo esquema bajo Services\dam. Sin conexión no existe CurrentControlSet: lee Select\Current. Recopila SYSTEM junto con SYSTEM.LOG1 y SYSTEM.LOG2, y llévate SOFTWARE para convertir los SID en nombres.
En un equipo encendido, la clave se encuentra fácilmente con regedit. Los errores ocurren sin conexión: leer el control set equivocado, analizar una colmena copiada sin sus registros de transacciones, o copiar un archivo bloqueado que llega lleno de ceros. Este artículo cubre las rutas y las opciones de adquisición. Para lo que hay dentro de cada valor, consulta el formato de los valores BAM; para la visión de conjunto, la guía completa de BAM/DAM.
Las rutas en el registro
En un sistema en ejecución, a través de la vista HKEY_LOCAL_MACHINE:
HKLM\SYSTEM\CurrentControlSet\Services\bam\State\UserSettings\<SID> (Windows 10 1809+, Windows 11)
HKLM\SYSTEM\CurrentControlSet\Services\bam\UserSettings\<SID> (Windows 10 1709–1803)
HKLM\SYSTEM\CurrentControlSet\Services\dam\State\UserSettings\<SID> (DAM, Modern Standby devices)
El cambio a la subclave State con la 1809 está documentado en las notas de kacos2000 sobre BAM: la antigua clave bam\UserSettings deja de actualizarse, pero «todavía pueden encontrarse entradas antiguas». Un equipo actualizado desde la 1803 puede tener, por tanto, ambas claves, y la antigua es una pequeña cápsula del tiempo de antes de la actualización. El artículo sobre las versiones de Windows trata ese caso.
Cada subclave <SID> contiene un valor por ejecutable, más los valores de control Version y SequenceNumber. El SID es la cuenta a la que el moderador atribuyó el proceso; consulta la atribución de BAM a usuarios.
El archivo de la colmena en disco
HKLM\SYSTEM corresponde al archivo C:\Windows\System32\config\SYSTEM, como indica la referencia de Microsoft sobre colmenas. A su lado están los registros de transacciones SYSTEM.LOG1 y SYSTEM.LOG2 (archivos del registro).
No cuentes con C:\Windows\System32\config\RegBack para obtener una copia anterior: desde Windows 10 1803, Windows ya no guarda ahí las colmenas de forma predeterminada (Microsoft Learn). Las instantáneas de volumen son mejor fuente de colmenas SYSTEM históricas.
CurrentControlSet no existe sin conexión
CurrentControlSet es un enlace que el kernel crea al arrancar. En un archivo de colmena solo tienes ControlSet001, a menudo ControlSet002, y una clave Select:
Valor bajo Select | Significado |
|---|---|
Current | El control set en uso (normalmente 1) |
LastKnownGood | El conjunto guardado como última configuración buena conocida |
Default | El conjunto que se usará en el siguiente arranque |
Un analizador sin conexión correcto lee Select\Current y trata ese conjunto como «actual». El otro suele ser una copia más antigua: en la colmena de ejemplo ficticia de este sitio, ControlSet002 contiene una instantánea de las entradas BAM de la usuaria antes de la intrusión, útil para comparar pero engañosa si la mezclas con la línea de tiempo actual. El BAM/DAM Parser lee todos los ControlSet00X, marca las filas del activo y, por defecto, solo muestra esas («Solo control set activo»).
Adquirir la colmena SYSTEM
La colmena está bloqueada mientras Windows funciona; el Explorador o copy fallarán. Las opciones, de la más ligera a la más pesada:
| Método | Comando / destino | ¿Incluye registros? | Notas |
|---|---|---|---|
reg save | reg save HKLM\SYSTEM C:\triage\SYSTEM.hiv | No (colmena consolidada) | Integrado; requiere administrador (Microsoft Learn). Modifica ligeramente el equipo. |
| KAPE | Target RegistryHivesSystem, o el compuesto !SANS_Triage | Sí | Copia NTFS en bruto; definiciones en KapeFiles |
| Velociraptor | Colección Windows.Triage.Targets con el target RegistryHivesSystem (antes Windows.KapeFiles.Targets en versiones antiguas), o Windows.Forensics.Bam para analizar en vivo | Sí (colección de archivos) | Documentación del artefacto Bam |
| FTK Imager | Add evidence → unidad física/lógica → exportar config\SYSTEM* | Sí | O «Obtain protected files» |
| Imagen de disco | Montar la imagen, copiar Windows\System32\config\SYSTEM* | Sí | Lo mejor para la cadena de custodia; ver Disk Image Parser |
| Instantánea de volumen | vssadmin list shadows y copiar desde el dispositivo de la instantánea | Sí | Colmenas SYSTEM más antiguas = entradas BAM más antiguas (vssadmin) |
Uses lo que uses, llévate también C:\Windows\System32\config\SOFTWARE (y sus registros): su clave ProfileList relaciona SID con carpetas de perfil. El target de KAPE RegistryHivesSystem ya la incluye.
La trampa del archivo lleno de ceros
Una colmena copiada en caliente con una copia de archivo normal (o por algunos agentes de copia de seguridad) puede llegar con el tamaño correcto pero llena de ceros. Nuestro analizador lo detecta y explica por qué la omite («todo ceros — la colmena probablemente estaba bloqueada al copiarla»). Vuelve a recopilarla con una herramienta de copia en bruto.
Colmenas «dirty» y registros de transacciones
Windows escribe primero los cambios del registro en SYSTEM.LOG1/SYSTEM.LOG2 y los integra después en el archivo principal. Una colmena cuyos dos números de secuencia del bloque base difieren está dirty: tiene escrituras pendientes que solo existen en los registros (notas de formato de libregf, especificación msuhanov/regf). En BAM, que se actualiza constantemente, esas escrituras pendientes suelen ser las ejecuciones más recientes — justo las que buscas.
Qué hacer:
- Recopila siempre
SYSTEM.LOG1ySYSTEM.LOG2junto con la colmena. - Comprueba si la colmena está dirty. El BAM/DAM Parser muestra un aviso cuando los números de secuencia difieren.
- Si lo está, reproduce los registros con
rla.exede Eric Zimmerman o deja que lo haga Registry Explorer, y analiza la colmena limpia.
Nuestra herramienta no reproduce todavía los registros; te avisa cuando hace falta. Una exportación con reg save ya está consolidada, así que no estará dirty.
Leerla en un sistema encendido
Para un vistazo rápido durante el triaje, sin recopilar nada:
Get-ChildItem 'HKLM:\SYSTEM\CurrentControlSet\Services\bam\State\UserSettings' |
ForEach-Object { $_.PSChildName }
Eso enumera los SID. Los valores son FILETIME binarios, ilegibles tal cual: exporta la colmena y analízala, o ejecuta el artefacto de Velociraptor Windows.Forensics.Bam, que los decodifica y resuelve los nombres de usuario. Recuerda que los programas que ejecutes en el equipo pueden acabar también en BAM bajo tu cuenta — anótalos en tu registro del caso.
Lista de comprobación
- Rutas:
bam\State\UserSettings(1809+),bam\UserSettings(1709–1803),dam\State\UserSettings(DAM). - Sin conexión: resuelve
Select\Current; no mezcles control sets. - Recopila
SYSTEM+SYSTEM.LOG1+SYSTEM.LOG2+SOFTWARE. - Comprueba si la colmena está dirty; reproduce antes de analizar.
- Busca en las instantáneas de volumen estados de BAM más antiguos.
Después, suelta todo en el BAM/DAM Parser o sigue cómo analizar BAM y DAM. Otros artefactos de la misma colmena, como ShimCache, se tratan en ShimCache Parser y Registry Parser.
Preguntas frecuentes
¿Dónde está la clave de registro BAM?
En la colmena SYSTEM: ControlSet00X\Services\bam\State\UserSettings\<SID> en Windows 10 1809+ y Windows 11, y ControlSet00X\Services\bam\UserSettings\<SID> en Windows 10 1709 a 1803.
¿Puedo copiar la colmena SYSTEM con el Explorador en un sistema encendido?
No. El kernel bloquea la colmena mientras Windows está en marcha. Usa reg save, una herramienta de copia NTFS en bruto como KAPE o FTK Imager, Velociraptor o una instantánea de volumen (Volume Shadow Copy).