srum-network-usages

Windows SRUM(System Resource Usage Monitor) 데이터베이스 파일에서 프로그램별 송수신 바이트 등 네트워크 사용량을 조회합니다.

명령어 속성

항목	설명
명령어 유형	드라이버 쿼리
필요 권한	클러스터 관리자
라이선스 사용량	집계함
병렬 실행	미지원
분산 실행	미지원

문법

srum-network-usages [zipcharset=STR] [zippath=STR] FILE_PATH

옵션

zipcharset=STR: ZIP 엔트리 이름의 문자 인코딩 (기본값: utf-8)
zippath=STR: ZIP 파일 경로. 이 옵션을 지정하면 ZIP 파일 내부의 SRUDB.dat 파일을 대상으로 조회합니다.

대상

FILE_PATH: SRUDB.dat 파일 경로. 와일드카드(*)를 사용하여 여러 파일을 지정할 수 있습니다. zippath 옵션을 지정한 경우 ZIP 파일 내부의 경로를 입력합니다. 이 파일은 Windows에서 C:\Windows\System32\sru\SRUDB.dat 경로에 위치합니다.

출력 필드

필드	타입	설명
_time	날짜	레코드 타임스탬프
_file	문자열	원본 파일 이름
app_id	32비트 정수	앱 ID (SruDbIdMapTable 인덱스)
app_name	문자열	앱 이름. 예: `\Device\HarddiskVolume3\Windows\System32\taskhostw.exe`
sid	문자열	프로그램 실행 계정의 SID
user_id	32비트 정수	계정 ID (SruDbIdMapTable 인덱스)
auto_inc_id	32비트 정수	자동 증가 ID
bytes_recvd	64비트 정수	수신 바이트 수
bytes_sent	64비트 정수	송신 바이트 수
interface_luid	64비트 정수	네트워크 어댑터 LUID(Locally Unique Identifier)
l2_profile_flags	32비트 정수	L2(데이터 링크 계층) 프로파일 플래그
l2_profile_id	32비트 정수	L2(데이터 링크 계층) 프로파일 ID

오류 코드

파싱 오류

해당 사항 없음

런타임 오류

해당 사항 없음

설명

srum-network-usages 명령어는 Windows SRUM 데이터베이스의 {973F5D5C-1D90-4944-BE8E-24B94231A174} 테이블에서 프로그램별 네트워크 사용량을 조회합니다. 이 테이블에는 응용프로그램별 송수신 바이트 수, 사용된 네트워크 어댑터 정보 등이 기록되어 있습니다.

명령어는 먼저 SruDbIdMapTable을 읽어 앱 ID와 사용자 ID를 실제 이름과 SID로 매핑합니다. ESE 데이터베이스의 CamelCase 컬럼 이름은 자동으로 snake_case로 변환됩니다.

이 명령어를 통해 특정 응용프로그램의 네트워크 통신량, 시간대별 네트워크 사용 패턴 등을 분석할 수 있습니다.

이 명령어는 4.0.2511.0 버전부터 클러스터 관리자 권한이 필요하며, 접근 가능한 파일 경로가 제한됩니다. 자세한 내용은 파일 접근 제한을 참고하세요.

사용 예

각 사용 예의 파일 경로는 ALLOWED_FILE_SCAN_PATHS 설정에 포함되어 있다고 가정합니다.

SRUDB.dat 파일에서 네트워크 사용량 조회
```
srum-network-usages C:\Windows\System32\sru\SRUDB.dat
```
SRUM 데이터베이스의 모든 네트워크 사용량 레코드를 조회합니다.
ZIP 파일 내부의 SRUDB.dat 파일 조회
```
srum-network-usages zippath=D:\evidence\sru.zip SRUDB.dat
```
ZIP 파일에 포함된 SRUDB.dat 파일에서 네트워크 사용량을 조회합니다.

응용프로그램별 총 송수신 바이트 집계

srum-network-usages C:\Windows\System32\sru\SRUDB.dat
| search isnotnull(app_name)
| stats sum(bytes_sent) as total_sent, sum(bytes_recvd) as total_recvd by app_name
| eval total = total_sent + total_recvd
| sort -total

응용프로그램별 총 송신/수신 바이트 수를 집계하고 총 통신량 기준으로 내림차순 정렬합니다.

호환성

srum-network-usages 명령어는 소나 4.0 이전 버전부터 제공되었습니다. 4.0.2511.0 버전부터 클러스터 관리자 권한이 필요합니다.