SRUM 记录了什么
SRUM（System Resource Usage Monitor）是 Windows 内置的资源使用统计机制，数据库位于 C:\Windows\System32\sru\SRUDB.dat，按时间段记录各应用的网络使用量、连接情况、能耗与运行时长。在调查中它主要用于回答“某个程序在哪个时段用了多少流量”，为数据外带体量提供进程级佐证。需要注意两点：数据按小时聚合，不是逐连接明细；解析时通常还需要软件注册表配置单元来还原应用名与用户标识的映射关系。
基本信息
| 适用平台 | Windows 8 及以上（Win7 不支持） |
|---|---|
| 文件位置 | C:\Windows\System32\sru\SRUDB.dat |
| 辅助文件 | SOFTWARE 配置单元（用于还原应用标识与名称的映射） |
| 数据粒度 | 按小时聚合，含应用使用、网络使用与网络连接等表 |
| 解析工具 | SrumECmd 等，需同时提供软件配置单元 |
典型使用场景
- 估算某进程在特定时段的网络收发量，支撑外带体量判断
- 发现本机在非业务时段仍有持续网络活动，与代理日志交叉验证
- 核对某程序是否运行过：运行时长与资源记录可作为执行佐证
- 为时间线补充“哪个程序在这段时间活跃”的信息
- 与防火墙、代理、Sysmon 记录三方对齐，提高结论可靠性
解析与对齐
解析与对齐
# 解析 SRUDB.dat，同时提供软件配置单元以还原应用名
SrumECmd.exe -f C:/Windows/System32/sru/SRUDB.dat -r C:/case/SOFTWARE --csv out/
# 关注网络使用表：按应用与时段看收发字节
head -5 out/SruDbNetworkUsage.csv
# 关注非业务时段的活动（时间列按实际格式筛选）
grep -E 'T0[0-6]:' out/SruDbNetworkUsage.csv | head -20
# 与代理日志、Sysmon 事件 3 对齐同一时段，三方一致才下结论数据表对照
| 表 | 含义 | 判读要点 |
|---|---|---|
| 应用使用表 | 各应用的运行时长与前台时间 | 可佐证程序运行过，但不能代替执行日志 |
| 网络使用表 | 按应用与小时的收发字节 | 用于体量估算，注意为聚合值 |
| 网络连接表 | 连接相关的统计与被访问目标 | 字段有限，需与其他来源结合 |
| 用户标识 | 条目关联的用户 | 需用软件配置单元映射为可读名称 |
| 时间字段 | 统计所属时段 | 按小时聚合，不能用于精确到秒的排序 |
SRUM 数据是小时级聚合，报告里不要写成“某进程在某秒传输了多少数据”；体量估算的精度要如实说明。
解析 SRUM 建议同时提供软件注册表配置单元，否则应用标识无法还原为可读名称，结论会变成一串看不懂的编号。