Windows 8 以降で導入された System Resource Utilization Monitor の機能、記録される情報、情報の確認方法について紹介します

1. System Resource Utilization Monitor
Murachi Akira aka Hebikuzure

2. About me
 Murachi Akira aka hebikuzure
 President, CPS Corporation Inc.
 Microsoft MVP (Most Valuable Professional)
 Apr. 2011 ～
 Visual Studio and Development Technologies
(Front End Web Dev)
2017/9/23Murachi Akira (CPS Corporation)

3. アプリの履歴
2017/9/23Murachi Akira (CPS Corporation)

4. データ使用状況
2017/9/23Murachi Akira (CPS Corporation)

5. アプリによるバッテリーの使用
2017/9/23Murachi Akira (CPS Corporation)

6. System Resource Utilization Monitor
 デスクトップ アプリケーション、サービス、Windows Apps、
ネットワーク接続のモニタリングと記録
 Diagnostic Policy Service の一環
 収集されるデータ
 Network Connectivity
 Network Data usage
 Application Resource usage
 Windows push notifications
 Energy usage
2017/9/23Murachi Akira (CPS Corporation)

7. データ収集の仕組み
 Diagnostic Policy Service が収集をコントロール
 Windows Network Data Usage Monitor
 Windows Push Notifications (WPN) Provider
 Application Resource Usage Provider
 Windows Network Connectivity Usage Monitor
 Energy Usage Provider
 1時間に1回とシャットダウン時に記録
 まずレジストリに記録
 HKLMSOFTWARE MicrosoftWindows NTCurrentVersionS RUMExtensions
 定期的にデータベースに書き込み
 C:WindowsSystem32sruSRUDB.dat
2017/9/23Murachi Akira (CPS Corporation)

8. SRUDB.dat
 Extensible Storage Engine データベース（ESE）
 ESE
 Extensible Storage Engine アーキテクチャ
https://technet.microsoft.com/ja-jp/library/aa998171
 Extensible Storage Engine
https://msdn.microsoft.com/en-us/library/gg269259
 Exchange Server, Windows Updates, Active Directory, Windows Search,
WinInet, etc…
 B-tree Database
2017/9/23Murachi Akira (CPS Corporation)

9. SRUDB.dat（ESE）を見る方法
 libesedb（Library and tools to access the Extensible Storage Engine
(ESE) Database File (EDB) format.）を使ってプログラミング
 https://github.com/libyal/libesedb
 ESEDatabaseView
 http://www.nirsoft.net/utils/ese_database_view.html
 System Resource Utilization Monitor
 https://isc.sans.edu/forums/diary/System+Resource+Utilization+Monitor/21927/
 https://github.com/MarkBaggett/srum-dump
 SRUDB.dat のネットワーク アクティビティだけなら NetworkUsageView
 http://www.nirsoft.net/utils/network_usage_view.html
2017/9/23Murachi Akira (CPS Corporation)

10. 参考情報
 SRUM forensics
 https://www.sans.org/summit-archives/file/summit-archive-1492184583.pdf
 【検証】社員のネットサーフィンの証拠をNetworkUsageViewで押さえられる
のか？
 https://www.netagent.co.jp/study/blog/hard/2017824.html
2017/9/23Murachi Akira (CPS Corporation)