Glosario

Definiciones claras de los términos de BAM/DAM y del registro de Windows usados en nuestras guías.

Background Activity Moderator (BAM): Controlador del kernel de Windows 10 1709+ (bam.sys) que limita las apps en segundo plano y guarda por usuario una lista de ejecutables con marca de tiempo.
Control set (ControlSet00X): Copia numerada de la configuración del sistema dentro de la colmena SYSTEM; Select\Current indica la que está en uso. CurrentControlSet solo existe en vivo.
Desktop Activity Moderator (DAM): Controlador del kernel de Windows que suspende o limita las apps de escritorio en espera conectada (Modern Standby) y guarda registros por usuario como BAM.
Colmena dirty: Colmena del registro cuyos números de secuencia de la cabecera difieren: parte de los cambios solo existe en sus registros .LOG1/.LOG2 y hay que reproducirlos.
Evidencia de ejecución: Artefactos forenses que muestran que un programa se ejecutó en un sistema — BAM, Prefetch, Amcache, UserAssist, registros de eventos —, cada uno con su alcance.
FILETIME: La marca de tiempo de 64 bits de Windows que cuenta intervalos de 100 ns desde el 1 de enero de 1601 UTC; la usan BAM y las horas de escritura de claves.
Modern Standby (espera conectada): Modo de bajo consumo de Windows en el que el equipo sigue encendido con la pantalla apagada. El Desktop Activity Moderator solo se carga en hardware compatible.
Ruta de dispositivo NT (\Device\HarddiskVolumeN): La forma nativa de ruta del kernel, como \Device\HarddiskVolume3\Windows\System32\cmd.exe, que BAM usa en los nombres de valor en lugar de letras de unidad.
Nombre de familia de paquete: El identificador de una app empaquetada (Store/MSIX), como Microsoft.WindowsCalculator_8wekyb3d8bbwe, que BAM usa como nombre de valor en lugar de una ruta.
ProfileList: La clave de la colmena SOFTWARE que asocia cada SID con su carpeta de perfil mediante ProfileImagePath; permite mostrar un nombre junto a los SID de BAM.
Identificador de seguridad (SID): El valor único con el que Windows identifica una cuenta o un grupo, como S-1-5-21-…-1001. BAM guarda una clave por SID: así atribuye la ejecución.
Colmena SYSTEM: El archivo de colmena C:\Windows\System32\config\SYSTEM que respalda HKLM\SYSTEM: servicios, control sets y las claves de BAM y DAM.