Bytes Suspeitos

Anotações sobre forense digital

Windows 8 shutdown (real e hibrido)

 

A partir do Windows 8, o shutdown padrão do computador é uma mistura de shutdown e hibernação com o objetivo de ser mais rápido o desligar e ligar do sistema.

 

Hybrid Shutdown

A forma default de desligar o windows é ´Hybrid Shutdown´ ou ´Hybrid Boot´. Faz parte do que a Microsoft intitula de ´Fast Startup´ feature.

Nesta o sistema desliga as aplicações e sessões do usuário (similar a um logoff) e faz a hibernização do kernel.
É a forma mais rápida de desligar o sistema, pois numa hibernação total toda a memória do sistema deveria ser salva. Sem a sessão do usuário hibernar somente o kernel é muito mais rápido.

Ao ligar o sistema, é restaurada a hibernação do kernel que é muito mais rápida que o carregamento de todo ele componente por componente.
Logo depois é aberta a tela para o usuário logar.

 

Real (ou Full) Shutdown

Para desligar completamente o sistema, deve-se manter pressionada a tecla shift ao se comandar o shutdown.
Alternativamente o comando a seguir, no command prompt (Admin), também faz o shutdown completo:

Shutdown -s -f -t 0
 

Restart

Sempre que for dado um ´Restart´ no sistema, será feito um ´Full Shutdown´, pois normalmente este procedimento é feito após de instalação ou atualizações de softwares ou drivers e para isto é necessário uma recarga do kernel do sistema novamente.

 

Desabilitando o Fast Startup

Para desabilitar o ´Hybrid Shutdown´ e sempre que se desliga fazer um ´Real Shutdown´ fazer o seguinte:

  • Entrar no Control Panel (Windows 8) ou Configurações (Windows 10)
  • Selecionar System and Security(Windows 10 somente)
  • Selecionar Power Options
  • Selecionar What the Power Button Does
  • Clicar no link Change settings that are currently unavailable perto do topo da janela
  • Desmarcar Turn On Fast Startup (Recommended)
  • Fechar o diálogo clicando em Save Changes
 

Arquivo de hibernação

Tanto a hibernação como o ´Hybrid Shutdown´ utilizam o mesmo arquivo de hibernação do sistema.

Para Windows 10, se não se usa a hibernação, e somente o ´Hybrid Shutdown´ é utilizado, se pode reduzir o arquivo de hibernação, ganhando um espaço extra em disco, com o seguinte comando (command prompt):

powercfg /h /type reduced

No caso de voltar a usar hibernação, configurar o arquivo de hibernação utilizando o comando:

powercfg /h /type full
 

Links consultados em 27-ago-2018

https://www.techrepublic.com/blog/windows-and-office/how-windows-8-hybrid-shutdown-fast-boot-feature-works/ 
https://www.howtogeek.com/243901/the-pros-and-cons-of-windows-10s-fast-startup-mode/ 
https://www.howtogeek.com/349114/shutting-down-doesnt-fully-shut-down-windows-10-but-restarting-it-does/ 
https://winaero.com/blog/all-ways-to-restart-and-shutdown-windows-10/ 
https://www.zdnet.com/article/windows-10-tip-startup-and-shutdown-secrets/ 
 
--- 
Histórico
DataVersãoBase/AlteraçãoAutor
27-ago-20181.0SWLivre,linksCH4172
 

Anotação:1003, última modificação:5-Dec-2019, tema:Windows