Kernel

• kernelbase.dll — вспомогательный слой для kernel32, содержащий базовые функции Win32 API.
• kernel32.dll — управляет системной памятью, потоками, процессами, вводом-выводом и базовой разметкой диска.
• ntdll.dll — важнейший компонент ядра. Содержит функции API родного интерфейса (NT API) и служит мостом между пользовательскими программами и режимом ядра.
• advapi32.dll — отвечает за службы безопасности, реестр Windows и управление учетными записями пользователей.
• hal.dll — (Hardware Abstraction Layer) слой абстракции оборудования. Хотя имеет расширение dll, фактически работает на уровне ядра как скрытый драйвер.

User

• gdi32.dll — графический интерфейс устройств (Graphics Device Interface). Рисует примитивы, шрифты, линии и базовые 2D-эффекты.
• user32.dll — отвечает за создание графического интерфейса: окон, меню, обработку кликов мыши, нажатий клавиш и позиционирование элементов UI.
• comctl32.dll — библиотека общих элементов управления (панели инструментов, статус-бары, прогресс-бары).
• comdlg32.dll — стандартные диалоговые окна (открытие/сохранение файлов, выбор цвета, шрифта).
• shell32.dll — обеспечивает работу оболочки Windows (Проводника). Управляет объектами рабочего стола, иконками и контекстными меню.
• imageres.dll / ddores.dll — ресурсы и системные иконки для современных устройств и папок Windows.

Network and Internet

• ws2_32.dll — (Windows Sockets) отвечает за работу с сетевыми протоколами TCP/IP, интернет-соединениями и сокетами.
• wininet.dll — функции для работы с HTTP, FTP и сетевыми куки.
• dnsapi.dll — отвечает за разрешение DNS-имен (сопоставление доменов с IP-адресами).

Installation and drivers

• setupapi.dll — используется для установки драйверов устройств и работы с аппаратным обеспечением.

Если вам нужен полный список библиотек, загруженных в систему прямо сейчас, вы можете использовать реестр или официальный софт:

1. Через реестр (Список KnownDLLs): Нажмите Win + R, введите regedit и перейдите по пути:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\KnownDLLs
Там система хранит список библиотек, которые принудительно загружаются из System32 в целях безопасности.

2. С помощью утилиты от Microsoft: Скачайте официальную консольную утилиту Microsoft Sysinternals ListDLLs. Она мгновенно выведет список вообще всех DLL-файлов, загруженных во все активные процессы

| #Администрирование |
| #MSWindows |
| #АдмТейк |
| #NT |

Таблица истинности

A=0, B=0 : XOR 0, NOT 1, AND 0, OR 0.
A=0, B=1 : XOR 1, NOT 1, AND 0, OR 1.
A=1, B=0 : XOR 1, NOT 0, AND 0, OR 1.
• A=1, B=1 : XOR 0, NOT 0, AND 1, OR 1.

Какими символами помечают логические вентили

XOR ⊕
OR +
AND ·
NOT ¬

| #АдмТейк |
| #Другое |

! Сегодня день рождение у Билл Гейтса ! ( 28 октября)

Windows NT

RECDISC (recdisc.exe) — это встроенный системный компонент операционной системы Windows, предназначенный для создания диска восстановления системы (System Repair Disc) на оптических носителях (CD или DVD). Этот исполняемый файл находится в системной директории C:\Windows\System32\.

Основное назначение и функции

• Утилита записывает на загрузочный диск базовый набор инструментов для диагностики и реанимации операционной системы.

• Созданный диск позволяет восстановить поврежденные загрузочные записи (MBR/GPT) и файлы конфигурации загрузки (BCD), если Windows не запускается.

• Через интерфейс диска можно получить доступ к точкам восстановления системы (System Restore) или развернуть ранее созданный полный образ системы (System Image Recovery).

• Предоставляет доступ к консоли для ручного управления файлами и дисками в случае сбоя ОС.

Особенности функционирования

1. Для работы утилиты обязательно наличие пишущего оптического привода (CD/DVD-RW) и чистого компакт-диска. Она не предназначена для создания загрузочных USB-флешек.

2. Зависимость от разрядности: Созданный диск восстановления имеет ту же битность (x86 или x64), что и операционная система, в которой он был запущен. Восстановить 64-битную Windows с помощью 32-битного диска невозможно.

3. Утилита появилась в Windows 7 и сохранилась в Windows 10/11 в целях обратной совместимости. Начиная с Windows 8, её функции дублируются более современной утилитой RecoveryDrive.exe, которая ориентирована на создание восстановительных USB-накопителей.

| #Администрирование |
| #MSWindows |
| #АдмТейк |
| #NT |

Windows NT

Cipher.exe — это встроенная утилита командной строки в операционной системе Windows, предназначенной для управления шифрованием данных и безопасного удаления информации. Утилита используется системными администраторами и специалистами по безопасности для предотвращения восстановления конфиденциальных данных после их стандартного удаления.

Функции утилиты

• Работает с файловой системой EFS (Encrypting File System). Позволяет шифровать отдельные файлы и папки на разделах NTFS, а также отображать текущий статус шифрования объектов.

• Функция запускается командой cipher /w:[диск]:\[папка]. Утилита безвозвратно уничтожает ранее удаленные файлы, трижды перезаписывая все свободное пространство на жестком диске (сначала нулями, затем единицами, затем случайными числами). Данные, которые не были удалены пользователем, при этом не затрагиваются.

• Позволяет создавать новые ключи шифрования, архивировать текущие сертификаты пользователя и создавать резервные копии ключей EFS для восстановления доступа к зашифрованным файлам.

| #Администрирование |
| #MSWindows |
| #АдмТейк |
| #NT |

Windows NT

WinRS (Windows Remote Shell) — это встроенная утилита командной строки в операционных системах Windows, предназначенная для безопасного удаленного управления компьютерами. Инструмент позволяет администраторам выполнять консольные команды и запускать сценарии на удаленных хостах. Работа утилиты базируется на протоколе WS-Management (WS-Man) и архитектуре веб-служб

Назначение и функции

• Запуск любых консольных утилит на удаленном сервере или рабочей станции.

• Управление системами Windows в режиме командной строки без использования графического интерфейса.

• Интеграция в сценарии автоматизации (скрипты) для массового управления узлами сети.

Технические особенности

• Использует протокол WS-Management для обмена данными.

• Транспортный уровень. Переносит данные через HTTP (порт 5985) или HTTPS (порт 5986).

• Зависит от запущенной службы Windows Remote Management (WinRM).

• Шифрует трафик по умолчанию, даже при использовании протокола HTTP.

Базовый синтаксис

Команда выполняется в формате:
winrs -r:Имя_Компьютера Команда

• Параметр -r. Указывает адрес или имя удаленного целевого компьютера.

• Параметр -u. Задает имя пользователя для аутентификации (опционально).

• Параметр -p. Передает пароль пользователя (опционально).

| #Администрирование |
| #MSWindows |
| #АдмТейк |
| #NT |

Windows NT

esentutl.exe (Extensible Storage Engine Utility) — это встроенная утилита командной строки в операционных системах Windows, предназначенная для обслуживания, восстановления, проверки и изменения баз данных Extensible Storage Engine (ESE), также известных как базы данных Jet Blue.

Основные функции

• Проверка целостности (/g): проверяет базу данных на наличие повреждений на уровне страниц.

Восстановление базы данных (/r и /p):

• /r выполняет мягкое восстановление (soft recovery) с помощью файлов журналов транзакций (.log).

• /p выполняет жесткое восстановление (hard recovery), исправляя поврежденные таблицы, что может привести к потере части данных.

• Дефрагментация (/d): сжимает базу данных, удаляя неиспользуемое пространство и создавая новый оптимизированный файл.

• Контрольная сумма (/k): проверяет контрольные суммы страниц базы данных для выявления аппаратных или системных ошибок записи.

Где применяется

Утилита используется для работы с системными компонентами Windows, использующими движок ESE:
• База данных службы Active Directory (ntds.dit).

• Почтовые базы данных Microsoft Exchange Server (исторически основная сфера применения).

• База данных обновлений Windows Update (SoftwareDistribution\DataStore\DataStore.edb).

• Поисковый индекс Windows Search.

| #Администрирование |
| #MSWindows |
| #АдмТейк |
| #NT |

Windows NT

Команда subst (от англ. substitute — заменить) в операционной системе Windows — это встроенная утилита командной строки, которая привязывает определенный локальный каталог (папку) к виртуальному диску с отдельной буквой (например, создаёт диск X: указывающий на папку C:\Users\Name\Documents).

Определение

subst — это консольная утилита, создающая в пространстве имён диспетчера объектов Windows символическую ссылку (симлинк) типа \??\X: на целевой путь файловой системы NT (например, \??\C:\Folder). Для пользователя и большинства программ созданный виртуальный диск выглядит и функционирует как обычный логический накопитель.

Контекст использования

Команда применяется в следующих сценариях:

• Обход ограничения по длине пути (MAX_PATH): В стандартном Windows API максимальная длина пути ограничена 260 символами. Сокращение пути (например, замена C:\Very\Long\Path\... на X:\) позволяет программам работать с файлами, глубина вложенности которых превышает этот лимит.

• Автоматизация и абсолютные пути: Использование виртуального диска позволяет жестко зафиксировать буквы дисков в скриптах компиляции, конфигурационных файлах или проектах автоматизации. Это обеспечивает переносимость кода между компьютерами, где реальные папки могут находиться в разных местах.

• Совместимость со старым ПО: Запуск устаревших программ, которые требуют для работы обязательного наличия определенного диска (например, D: или E:), но физически на компьютере присутствует только диск C:

Происхождение

Команда впервые появилась в операционной системе MS-DOS 3.1 в 1985 году. Она была введена для обеспечения обратной совместимости и упрощения навигации в древовидной структуре папок, которая тогда только развивалась. С тех пор утилита без изменений переносилась во все последующие версии операционных систем Microsoft, включая Windows NT, XP, 7, 10 и 11.

Примеры использования

Все команды выполняются в интерпретаторе командной строки (cmd.exe).

Создание виртуального диска

subst X: C:\Games\Strategy\MyGame

Результат: В системе создаётся диск X: Обращение к нему перенаправляет запросы в папку MyGame.

Просмотр существующих сопоставлений:

subst

Результат: Вывод списка всех активных виртуальных дисков, созданных через эту команду, и путей, к которым они привязаны (например: X:\: => C:\Games\Strategy\MyGame).

Удаление виртуального диска:

subst X: /D

Результат: Связь разрывается, диск X: исчезает из системы. Сама папка и файлы внутри неё остаются нетронутыми

Важные технические ограничения

1. Изоляция сессий: Диски, созданные через subst, по умолчанию видны только в рамках той пользовательской сессии, в которой была запущена команда. Если создать диск в обычной командной строке, он не будет виден в программах, запущенных от имени Администратора (и наоборот).

2. Временный характер: Созданные диски существуют только до перезагрузки ОС. Для автоматического создания при старте системы команду необходимо добавлять в автозагрузку (например, через RegEdit или Task scheduler).

3. Ограничения файловых операций: На виртуальных дисках subst недоступны некоторые низкоуровневые утилиты вроде chkdsk, format или diskpart.

| #Администрирование |
| #MSWindows |
| #Настройка |
| #АдмТейк |
| #Legacy |
| #NT |

Дни рождения Windows NT

• Windows 2000 (NT 5.0): 17 февраля 2000 года
• Windows NT 3.1 (первая NT): 27 июля 1993 года
• Windows 10 (NT 10.0): 29 июля 2015 года
• Windows 11 (NT 10.0): 5 октября 2021 года

| #MSWindows |
| #АдмТейк |
| #Другое |
| #NT |

Legacy

Driver Verifier (Средство проверки драйверов) — это встроенный в операционную систему Windows утилитарный инструмент, предназначенный для мониторинга, тестирования и обнаружения ошибок в работе драйверов устройств режима ядра.

Основное назначение

Главная цель инструмента — принудительно выявить скрытые дефекты в коде драйверов, которые приводят к нестабильности системы, утечкам памяти или критическим ошибкам (синим экранам смерти / BSOD).

Принцип работы

В обычном режиме работы Windows может игнорировать или временно изолировать незначительные нарушения в поведении драйверов для поддержания работы системы. Driver Verifier меняет эти условия:

• Ужесточение правил: Он применяет к выбранным драйверам строгие протоколы тестирования (например, симуляцию нехватки ресурсов, проверку пулов памяти, контроль подлинности I/O-запросов).

• Намеренное провоцирование BSOD: Как только тестируемый драйвер совершает малейшую ошибку (например, пытается обратиться к недопустимому адресу памяти), Driver Verifier немедленно останавливает систему и вызывает BSOD с определенным кодом ошибки (например, DRIVER_VERIFIER_DETECTED_VIOLATION).

• Фиксация данных: В момент падения системы создается аварийный дамп памяти (Crash Dump), в котором четко фиксируется имя конкретного файла драйвера (с расширением .sys), вызвавшего сбой.

Основные режимы тестирования

• Special Pool (Специальный пул): Выделяет изолированные структуры памяти для отслеживания выхода за пределы выделенного буфера.

• Force IRQL Checking (Принудительная проверка IRQL): Проверяет правильность управления уровнями запросов прерываний.

• Low Resources Simulation (Имитация нехватки ресурсов): Искусственно создает дефицит памяти для проверки отказоустойчивости драйвера.

• Deadlock Detection (Обнаружение взаимных блокировок): Отслеживает конфликты потоков, способные вызвать зависание системы.

Порядок использования

1. Инструмент запускается через командную строку или окно «Выполнить» (Win + R) командой verifier.

2. Пользователь выбирает типы тестов и конкретные драйверы для проверки (чаще всего выбираются все сторонние драйверы, не созданные Microsoft).

3. Требуется перезагрузка компьютера для вступления настроек в силу.

4. После сбора информации инструмент необходимо отключить вручную (командой verifier /reset), иначе нагрузка на систему останется повышенной.


Инструмент используется разработчиками программного обеспечения, системными администраторами и специалистами по диагностике ПК для точного определения дефектных компонентов ОС.

| #Администрирование |
| #MSWindows |
| #Настройка |
| #АдмТейк |
| #Legacy |
| #NT |

Windows NT

Event Viewer (Просмотр событий) — это встроенный в операционную систему Microsoft Windows инструмент с графическим интерфейсом, предназначенный для централизованного мониторинга и анализа системных журналов. Он регистрирует значимые события в работе аппаратного и программного обеспечения, разделяя их по категориям, уровням важности и уникальным кодам (Event ID).

Основные компоненты и типы журналов

Записи классифицируются по нескольким основным журналам Windows (Windows Logs):

• Application (Приложение): Фиксирует события, связанные с установленным программным обеспечением (ошибки сторонних программ, сбои служб приложений).

• Security (Безопасность): Содержит логи аудита системы безопасности (успешные и безуспешные попытки входа в систему, изменение прав доступа к файлам).

• System (Система): Фиксирует события, созданные компонентами самой Windows, такими как драйверы устройств, системные службы или аппаратное обеспечение (например, сбой подключения диска).

• Forwarded Events (Пересланные события): Хранит логи, перенаправленные с других компьютеров в локальной сети (используется в корпоративных средах).

Классификация уровней важности событий

Каждая запись в журнале имеет определенный статус:

• Information (Сведения): Уведомление об успешном выполнении задачи приложением или компонентом (например, запуск службы).

• Warning (Предупреждение): Индикация потенциальной проблемы, которая не критична в данный момент, но может вызвать сбой в будущем (например, заканчивающееся место на диске).

• Error (Ошибка): Свидетельство о критической проблеме, приведшей к потере функциональности, сбою службы или невозможности загрузить данные.

• Critical (Критический): Серьезный сбой, приведший к прекращению работы компонента или всей системы (например, аварийное завершение работы из-за потери питания).

Назначение и практическое применение

Инструмент используется системными администраторами и специалистами по технической поддержке для решения следующих задач:

1. Диагностика сбоев (Troubleshooting): Поиск конкретного кода ошибки (Event ID) и источника (Source) для определения причин «синих экранов» (BSOD), зависаний или аварийных завершений программ.
2. Аудит безопасности: Мониторинг несанкционированного доступа, отслеживание времени входа/выхода пользователей.

1. Оптимизация производительности: Выявление служб и драйверов, которые замедляют загрузку или работу операционной системы.

| #Администрирование |
| #MSWindows |
| #Настройка |
| #АдмТейк |
| #NT |

Legacy

azman.msc (Диспетчер авторизации / Authorization Manager) — это встроенная в операционную систему Windows оснастка Управления (MMC), предназначенная для управления ролевым управлением доступом (RBAC) в приложениях.

Основные функции и характеристики:

• Назначение: Позволяет разработчикам и системным администраторам создавать и назначать роли, операции и задачи для пользователей или групп внутри конкретных программ.

• Принцип работы: Вместо назначения прав на отдельные объекты (как в случае с ACL файловой системы), доступ предоставляется на основе бизнес-роли пользователя (например, «Менеджер», «Администратор», «Гость»).
• Хранение данных: Политики авторизации могут храниться либо в виде XML-файлов на диске, либо в службах каталогов Active Directory (AD DS) / Active Directory Lightweight Directory Services (AD LDS).

• Текущий статус: Компонент признан устаревшим. В современных версиях Windows Microsoft рекомендует использовать другие механизмы контроля доступа (например, встроенные средства управления доступом на базе утверждений/claims в Active Directory).

(P.S : я LDS прочитал как LSD.)

| #Администрирование |
| #MSWindows |
| #Настройка |
| #АдмТейк |
| #Legacy |
| #NT |

Windows NT

Файлы системных оснасток, используемые для администрирования Windows Server
• важно! половину нельзя открыть на классических Pro/home версиях •

dhcpmgmt.msc
dnsmgmt.msc
dsa.msc
iis.msc
sanmgr.msc
certsrv.msc
dssite.msc
ciadv.msc
rrasmgmt.msc
virtmgmt.msc
iscsicpl.msc
fxsadmin.msc
ocns.msc
wbadmin.msc
napclcfg.msc
tsconfig.msc
gpmc.msc
adsiedit.msc
servermanager.msc
tsadmin.msc

Объяснять функции каждого файла лень, поэтому выложено в формате списка, но ждите посты, где рассказывают про эти программы подробнее

| #Администрирование |
| #MSWindows |
| #Настройка |
| #АдмТейк |
| #NT |

Legacy

OOBE (Out-of-Box Experience) — это встроенный в операционную систему пошаговый мастер первоначальной настройки. Он запускается автоматически при первом включении нового компьютера или сразу после завершения чистой установки Windows.

Технические функции OOBE

• Выбор региональных стандартов (язык интерфейса, раскладка клавиатуры, часовой пояс).

• Принятие лицензионного соглашения Microsoft.

• Подключение к сети (Wi-Fi или Ethernet).

• Авторизация пользователя через учетную запись Microsoft или создание локального профиля.

• Настройка базовых параметров конфиденциальности (отправка диагностических данных, геопозиционирование).

Программа выполняется до запуска графической оболочки (проводника Windows) и рабочего стола. Компоненты мастера настройки находятся по пути C:\Windows\System32\oobe\, а за координацию процесса в современных версиях Windows отвечает фоновый сервис C:\Windows\System32\UserOOBEBroker.exe.

Важный учёт

Главного файла msoobe.exe в современных версиях Windows (начиная с Windows 10 и 11) больше не существует в качестве самостоятельного процесса настройки. Вся логика современного OOBE работает на базе веб-технологий и JavaScript. Главным диспетчером процесса в фоновом режиме выступает файл UserOOBEBroker.exe (находится в C:\Windows\System32\), а сам графический интерфейс OOBE теперь завязан на приложение CloudExperienceHost (процесс wwahost.exe).

Хотя, исполняемый файл msoobe.exe существовал и отвечал за этот этап в старых версиях ОС (например, в Windows XP и Windows 7).

| #Администрирование |
| #MSWindows |
| #Настройка |
| #АдмТейк |
| #Legacy |
| #NT |

Windows NT

ODBC (Open Database Connectivity) — это стандартизированный программный интерфейс (API), который позволяет приложениям взаимодействовать с различными системами управления базами данных (СУБД) независимо от их типа и разработчика.
В операционной системе Windows ODBC работает как слой абстракции (прослойка) между пользовательской программой (например, Excel, 1С или самописным софтом) и самой базой данных (MS SQL Server, PostgreSQL, MySQL, Oracle).

Компоненты архитектуры ODBC в Windows

Взаимодействие через ODBC состоит из четырех четких элементов:

Приложение (Application).
Роль в системе Windows: Инициирует запросы к данным, вызывает функции ODBC API.
Пример: Microsoft Excel, аналитический софт, ERP-системы.

Диспетчер драйверов (Driver Manager).
Роль в системе Windows:Системный компонент Windows (odbc32.dll). Загружает нужные драйверы, проверяет параметры.
Пример:Администратор источников данных ODBC (запускается через odbcad32.exe)

Драйвер ODBC (Driver).
Роль в системе Windows:Библиотека (DLL), которая переводит стандартные функции ODBC в специфические команды конкретной СУБД.
Пример:Драйвер ODBC для SQL Server, PostgreSQL ODBC Driver.

Источник данных (Data Source / DSN).
Роль в системе windows:Именованная конфигурация в реестре Windows, содержащая параметры подключения (адрес сервера, имя БД, логин). Пример:Пользовательский DSN, Системный DSN или DSN файла

Как это работает технически

1. Запрос: Приложение отправляет SQL-запрос через стандартные функции ODBC API.

2. Маршрутизация: Диспетчер драйверов Windows принимает этот запрос и перенаправляет его конкретному драйверу, указанному в настройках DSN.

3. Трансляция: Драйвер переводит запрос на сетевой протокол и синтаксис конкретной СУБД.

4. Выполнение и возврат: База данных выполняет запрос, возвращает результат драйверу, драйвер передает его диспетчеру, а тот — обратно приложению в универсальном табличном формате.

Главное практическое назначение

Разработчику приложения не нужно писать отдельный код для интеграции сp MySQL, отдельный для Oracle и отдельный для SQL Server. Приложение пишется один раз под универсальный интерфейс ODBC, а подключение к конкретной базе данных настраивается сисадмином на целевом компьютере через утилиту «Источники данных ODBC».

| #Администрирование |
| #MSWindows |
| #Настройка |
| #АдмТейк |
| #NT |

Windows NT

USN Journal (Update Sequence Number Journal), также известный как журнал изменений NTFS — это системная функция файловой системы NTFS в операционных системах Windows, которая регистрирует все изменения, происходящие с файлами и каталогами на диске.

Принцип работы и характеристики

• Фиксация событий: Журнал записывает факты создания, удаления, изменения, переименования файлов и папок, а также смену их атрибутов и прав доступа.

• Содержимое записей: Каждая запись содержит уникальный порядковый номер (USN), имя файла, тип произошедшего изменения и время его фиксации. Журнал не содержит данные самого файла или его содержимое до изменения.

• Циклический буфер: Журнал имеет фиксированный максимальный размер. При заполнении выделенного пространства новые записи перезаписывают самые старые.

• Идентификация изменений: Программы могут считывать журнал, сравнивать сохраненный ранее номер USN с текущим и мгновенно определять, какие файлы изменились с момента последней проверки.

Основное назначение

• Ускорение индексации: Используется поисковыми службами (например, Windows Search или сторонними утилитами вроде Everything) для обновления базы данных без полного сканирования жесткого диска.

• Репликация данных: Применяется службой репликации файлов (FRS) и службой DFS для синхронизации содержимого папок между серверами.

• Резервное копирование: Позволяет программам бэкапа быстро находить измененные файлы для создания инкрементных копий.

| #Администрирование |
| #MSWindows |
| #Настройка |
| #АдмТейк |
| #NT |

Windows NT

ETW (Event Tracing for Windows) — это встроенная в операционную систему Windows высокопроизводительная подсистема трассировки событий на уровне ядра. Она предназначена для логирования, мониторинга и отладки работы компонентов ОС, драйверов устройств и пользовательских приложений без необходимости перезагрузки системы или повторной компиляции исходного кода.

Архитектура и основные компоненты

Функционирование ETW базируется на взаимодействии трех основных элементов:

• Провайдеры (Providers): Компоненты (драйверы или приложения), которые содержат код трассировки и генерируют события.

• Сессии (Controllers/Sessions): Управляющие элементы, которые запускают и останавливают запись, определяют буферы памяти и направляют поток событий в файлы журналов (.etl) или в режиме реального времени потребителям.

• Потребители (Consumers): Приложения, которые считывают и анализируют данные событий из файлов трассировки или в режиме реального времени.

————————————

Режим выполнения:
Работает преимущественно в режиме ядра (Kernel-mode), что минимизирует накладные расходы на переключение контекста.

Производительность:
Способна обрабатывать десятки тысяч событий в секунду с минимальным влиянием на загрузку процессора (менее 5%).

Формат вывода:
Бинарные файлы трассировки с расширением .etl (Event Trace Log).

Инструменты сбора:
logman, xperf, Windows Performance Recorder (WPR).

Инструменты анализа: Windows Performance Analyzer (WPA), Event Viewer, tracerpt.

————————————

Механизм работы

Провайдер регистрируется в системе и ожидает команду от Контроллера. При активации сессии трассировки провайдер начинает записывать бинарные данные событий в предварительно выделенные буферы памяти ядра. По мере заполнения буферов подсистема ETW сбрасывает их на жесткий диск в файл .etl или передает напрямую Потребителю. Этот процесс происходит асинхронно, что предотвращает блокировку вызывающего потока в приложении-провайдере.

Практическое применение

• Профайлинг производительности: Анализ задержек ввода-вывода (I/O), использования процессора (CPU) и выделения оперативной памяти.

• Поиск неисправностей: Отладка зависаний драйверов, сбоев в работе системных служб и сетевых протоколов.

• Кибербезопасность (EDR/SIEM): Мониторинг подозрительной активности (создание процессов, внедрение кода, доступ к реестру) для обнаружения вредоносного ПО.


| #Администрирование |
| #MSWindows |
| #Настройка |
| #АдмТейк |
| #NT |

Windows NT

Amcache.hve — это защищённый от записи куст реестра Windows (Registry Hive), который операционная система использует для мониторинга и сохранения метаданных о запускаемых в системе приложениях, исполняемых файлах, драйверах и загружаемых библиотеках (DLL).
Этот файл располагается по пути C:\Windows\AppCompat\Programs\Amcache.hve и используется механизмом совместимости приложений (Application Compatibility) и службой отслеживания использования приложений (Application Experience) для оптимизации работы программ в среде Windows.

Ключевые функции и собираемые данные

Amcache.hve фиксирует информацию о процессах создания и запуска исполняемых файлов на диске. В нем содержатся следующие технические параметры:

• Идентификация файлов: Полный путь к исполняемому файлу (за исключением сетевых ресурсов), его имя и точный размер в байтах.

• Временные метки: Точное время первого создания файла (File Creation Time) и время последнего изменения файла на диске. В ряде случаев фиксируется время первого запуска.

• Хеш-суммы: Криптографический хеш SHA-1 исполняемого файла, что позволяет идентифицировать уникальные сборки программ независимо от изменения их названий.

• Атрибуты компиляции: Данные PE-заголовка (Portable Executable), включая дату компиляции файла (Linker Timestamp).

• Сведения об издателе: Имя разработчика, версия продукта и официальное название программы, извлеченные из ресурсов самого файла.

• Данные об установке: Сведения о связанных инсталляторах (MSI/EXE), датах установки приложений и записях в разделе «Программы и компоненты».

Значение для компьютерно-технической экспертизы (DFIR)

В контексте информационной безопасности и расследования инцидентов Amcache.hve является критически важным артефактом энергонезависимой памяти (Forensic Artifact). Из-за архитектурных особенностей он сохраняет информацию даже после того, как сам исполняемый файл был удален с диска или запущен с внешнего съемного накопителя (USB-флеш-карты). С его помощью криминалисты доказывают факт присутствия и исполнения вредоносного или несанкционированного программного обеспечения в системе.

| #Администрирование |
| #MSWindows |
| #Настройка |
| #АдмТейк |
| #NT |