BAM según la versión: Windows 10 1709, 1809, 11 y Server
Qué versiones de Windows tienen BAM y DAM, adónde se movió la clave en la 1809, cómo es un equipo actualizado y qué comprobar en Windows 11 y Windows Server.
TL;DR. No hay BAM antes de Windows 10 1709. De la 1709 a la 1803 está en bam\UserSettings; desde la 1809 (y en Windows 11), en bam\State\UserSettings. Los equipos actualizados pueden tener ambas, y la clave antigua queda congelada en el momento de la actualización. DAM solo registra en hardware con Modern Standby y, según Microsoft, no existe en las ediciones de servidor. En Windows Server y en las versiones más recientes de Windows 11, compruébalo en la imagen en vez de suponerlo.
La versión importa por dos motivos: te dice dónde buscar y cómo interpretar una ausencia. Un resultado vacío en Windows 7 no significa nada; un resultado vacío en un portátil con Windows 11 que se usó toda la semana merece una pregunta. Empieza por la guía completa de BAM/DAM si el artefacto es nuevo para ti.
Matriz de versiones
| Windows | Clave BAM | Clave DAM | Notas |
|---|---|---|---|
| XP, Vista, 7 | — | — | Usa Prefetch, ShimCache, UserAssist |
| 8 / 8.1 | — | Controlador DAM presente en equipos con espera conectada | Microsoft documenta DAM para Windows 8 (Learn); sin registros UserSettings documentados a efectos forenses |
| 10 1507 – 1703 | — | — | BAM aún no existía |
| 10 1709 – 1803 | Services\bam\UserSettings\<SID> | Services\dam\UserSettings\<SID> con Modern Standby | Formato antiguo |
| 10 1809 – 22H2 | Services\bam\State\UserSettings\<SID> | Services\dam\State\UserSettings\<SID> con Modern Standby | Formato actual |
| 11 | Services\bam\State\UserSettings\<SID> | igual, con Modern Standby | Mismo formato que 10 1809+ según la documentación pública |
| Server 2016 | — | — | Basado en la 1607 |
| Server 2019 y posteriores | Comprobar | Ausente en ediciones de servidor, según Microsoft | Ver más abajo |
Fuentes: la introducción en la 1709 figura en la documentación del artefacto de Velociraptor y en la investigación temprana de padawan-4n6; el paso a State en la 1809, en kacos2000; la disponibilidad en Windows 10/11, en referencias comunitarias como Psmths/windows-forensic-artifacts.
El paso a State\UserSettings en la 1809
Según las notas de kacos2000, desde Windows 10 1809 BAM «dejó de actualizar» bam\UserSettings y escribe en bam\State\UserSettings, mientras que en la clave antigua «todavía pueden encontrarse entradas antiguas».
En la práctica:
- Las herramientas que solo leen una ruta pierden datos. El
bam.plde RegRipper, por ejemplo, solo recorreState\UserSettingsen el control set actual (ver la comparación de herramientas). En una imagen 1803 diría que la clave no existe. - Un equipo actualizado tiene dos líneas de tiempo.
bam\UserSettingsguarda las entradas tal como estaban en el momento de la actualización;bam\State\UserSettings, la actividad actual. Como BAM ya no escribe en la antigua, sus entradas pueden ser más antiguas que la ventana de siete días que normalmente limita BAM — una visión poco habitual de lo que ejecutaban los usuarios antes de la actualización. No hemos encontrado ninguna prueba pública de si la limpieza al arrancar sigue afectando a la clave antigua, así que trata su supervivencia como algo que se observa, no que se garantiza. - Etiquétalas. Nuestro analizador lee ambos formatos en todos los control sets y marca las filas antiguas («Formato antiguo (Windows 10 1709–1803)» en el panel de detalle, columna
LegacyLayouten las exportaciones). No las mezcles con la línea de tiempo actual sin indicarlo.
Windows 11
La documentación pública de BAM en Windows 11 muestra la misma ubicación State\UserSettings y el mismo formato de valor que Windows 10 1809+ (por ejemplo Psmths y el resumen de ElcomSoft sobre el registro de 2026). No hemos encontrado una fuente primaria que describa cambios de retención o de formato en las actualizaciones recientes de Windows 11.
La postura honesta: según la investigación publicada, clave y formato son los mismos, pero la ingeniería inversa más detallada (Suhanov, 2020) se hizo sobre las compilaciones 18363 y 19592 de Windows 10. La retención (siete días), la exclusión de soportes extraíbles y de red y la peculiaridad de las aplicaciones de consola no se han vuelto a publicar para Windows 11. Si una conclusión depende de alguno de esos comportamientos, pruébalo en una VM de referencia con la misma compilación que tu evidencia.
Windows Server
Dos preguntas distintas:
- DAM. Microsoft indica que DAM «no está presente en las ediciones de servidor» (Learn). No esperes registros
Services\damen un servidor. - BAM. Windows Server 2019 comparte base de código con la 1809 y Server 2022/2025 son más recientes (información de versiones de Windows Server), pero no hemos encontrado ninguna declaración oficial sobre si BAM está activo en las ediciones de servidor. Busca
ControlSet00X\Services\bamen la imagen. Si está y tiene subclaves SID, úsala; si no, recurre a otros artefactos.
Esto importa porque es en los servidores donde Prefetch suele no estar disponible, así que el repertorio de evidencias de ejecución ya es más escaso. Los registros de eventos (4688 con la auditoría de creación de procesos, Sysmon) y Amcache pasan a ser las fuentes principales.
Cómo saber qué compilación tienes delante
Sin conexión, desde la colmena SOFTWARE:
SOFTWARE\Microsoft\Windows NT\CurrentVersion
ProductName, DisplayVersion (20H2+), ReleaseId (older), CurrentBuild
Fíate de CurrentBuild antes que del nombre del producto: las compilaciones 22000 y superiores son Windows 11 (consulta la información de versiones de Microsoft para los números de compilación). Con solo la colmena SYSTEM, la propia ubicación de BAM es una pista: únicamente bam\UserSettings apunta a 1709–1803; State\UserSettings, a 1809 o posterior.
Interpretar bien una ausencia
| Situación | Explicación probable | Siguiente paso |
|---|---|---|
No hay clave bam | Windows anterior a 1709, o compilación de Server sin BAM | Confirmar la compilación en SOFTWARE; usar otros artefactos |
bam existe, sin claves SID | Arranque tras un largo periodo de inactividad (purga de 7 días), o manipulación | Revisar las instantáneas de volumen; comprobar la hora de última escritura de la clave |
| Falta el SID sospechoso, los demás están | La cuenta no ejecutó nada localmente hace poco, o solo desde rutas extraíbles o de red | Revisar Prefetch, Amcache, SRUM |
dam vacía o ausente | Equipo sin Modern Standby | Normal en la mayoría de los equipos de sobremesa |
Para cada elemento de la última columna, el artículo sobre limitaciones y antiforense da los detalles. Y para el análisis en sí, el BAM/DAM Parser gestiona automáticamente todos los formatos anteriores; la guía paso a paso muestra el flujo de trabajo.
Preguntas frecuentes
¿Qué versiones de Windows tienen BAM?
Windows 10 a partir de la versión 1709 (Fall Creators Update) y Windows 11. Las versiones anteriores no tienen clave de servicio bam. En Windows Server, comprueba si la imagen contiene una clave Services\bam en lugar de darlo por hecho.
¿Por qué mi colmena tiene a la vez bam\UserSettings y bam\State\UserSettings?
El equipo se actualizó desde Windows 10 1709–1803. A partir de la 1809 BAM escribe en State\UserSettings y la clave antigua deja de actualizarse, pero sus entradas pueden seguir ahí como instantánea de antes de la actualización.