Wie bereinigt man SRUM unter Windows?

SRUM, der System Resource Usage Monitor, ist eine Windows-Funktion, die dokumentiert, wie viel CPU, Netzwerk und Energie jedes Programm stündlich verbraucht. Es existiert hauptsächlich für Batterieberichterstattung und die Überwachung des Netzwerkdatenverbrauchs, aber als Nebeneffekt wird es zu einem detaillierten Tagebuch über alles, was auf Ihrem PC lief, egal ob es über das Startmenü, ein Skript oder einen Hintergrunddienst gestartet wurde.

Die Sammlung wird vom Diagnostic Policy Service (DPS) gesteuert, der periodisch laufende und kürzlich ausgeführte Prozesse abfragt und die Ergebnisse in eine Datenbank schreibt. Da SRUM unabhängig vom Explorer funktioniert, kann es Programme erkennen, die andere Spuren (wie UserAssist) komplett übersehen, und die Daten können mehrere Wochen erhalten bleiben. Sie wird als ESE-Datenbank (dieselbe Engine, die auch von Windows Search verwendet wird) gespeichert unter C:\Windows\System32\sru\SRUDB.dat, mit den Datenkategorien, unter denen sie erfasst wird, konfiguriert HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SRUM\Extensions.

Wie Amcache hat ein SRUM-Datensatz keinen kosmetischen Teil, jedes Feld ist ein Maß dafür, was ein Programm tatsächlich getan hat. Was es ungewöhnlich gründlich macht, ist die Kombination: nicht nur, dass ein Programm lief, sondern auch, wie viel es das Netzwerk, die Festplatte und die Batterie Stunde für Stunde über Wochen verbrauchte. PrivaZer entfernt diese Datensätze, sodass das Ressourcennutzungs-Tagebuch nicht mehr in der Datenbank liegt.

SRUM sagt nicht nur, dass es ein Programm gab, sondern auch, wie es verwendet wurde: wie viel Netzwerkverkehr es generierte, wie lange es im Vordergrund lief, ungefähr wie viel Akku es verbrauchte. Da die Sammlung vom Diagnostic Policy Service und nicht vom Explorer gesteuert wird, ist sie nicht auf Programme beschränkt, die Sie doppelt angeklickt haben; auch Hintergrundprozesse und Kommandozeilen-Tools erscheinen. Diese Kombination aus Präsenz plus einem Nutzungsprofil über die Zeit macht SRUM für forensische Werkzeuge wertvoll, selbst wenn andere Ausführungsspuren bereits gelöscht wurden.

Ja. PrivaZer erkennt und löscht die SRUM-Datenbank als Teil eines Scans und kann sie eigenständig anvisieren.

SRUDB.dat wird normalerweise vom Diagnostic Policy Service geöffnet, während Windows läuft. PrivaZer hebt diese Sperre auf und löscht die Dateien sicher in C:\Windows\System32\sru, SRUDB.dat und alle dazugehörigen Dateien, wobei sie vor der Entfernung überschrieben werden, sodass die alten Datensätze nicht mit Undelete- oder Datenwiederherstellungstools zurückgeholt werden können. Das passiert direkt, in derselben Sitzung, kein Neustart erforderlich. Administratorrechte sind erforderlich.

Ja. Das Deinstallieren eines Programms und das Löschen seiner Dateien entfernt nicht dessen SRUM-Verlauf. Die stündlichen Aufzeichnungen über CPU, Netzwerk, Festplatte und Energieverbrauch können wochenlang in der Datenbank verbleiben und zeigen nicht nur, dass das Programm existierte, sondern auch wie es tatsächlich genutzt wurde – lange nachdem jede Spur des Programms selbst verschwunden ist. Das Reinigen von SRUM entfernt diesen übrig gebliebenen Datensatz.

Ja. SRUM ist ein Diagnose-Cache, den Windows für Batterie- und Netzwerkberichterstattung verwaltet und automatisch neu aufbaut. Das Löschen hat keinen Einfluss auf Ihre installierten Programme, Ihre Dateien oder die Systemstabilität. Der Diagnostic Policy Service läuft (oder startet neu) wie gewohnt weiter, sodass Fehlerbehebungsfunktionen, die davon abhängig sind, nicht dauerhaft betroffen sind.

Ja, und das ist zu erwarten: Der Diagnostic Policy Service setzt seine stündlichen Rollups fort, sobald Sie den PC wieder benutzen. Die Reinigung entfernt die historische Spur bis zu diesem Punkt, sodass das, was ein Prüfer wiederherstellen konnte, nur das ist, was seitdem passiert ist. Lassen Sie PrivaZer regelmäßig laufen, um die Spur kurz zu halten.

Alle vier zeigen, dass Software existierte oder lief, aber jeder erfasst einen anderen Schnitt. SRUM ist das einzige mit einem stündlichen Ressourcennutzungsprofil, CPU, Netzwerk, Festplatte und Energie und das einzige, das nicht an einen GUI-Start gebunden ist. UserAssist protokolliert GUI-Starts mit einer Ausführungsanzahl und Fokuszeit. Amcache ist eine Hive-Datei mit reichhaltigen Programm-Metadaten, einschließlich eines SHA-1-Hashs. Shimcache protokolliert hauptsächlich Pfade und zuletzt geänderte Daten. Nur eine Reinigung lässt die anderen drei unverändert.

Für die anderen siehe: Amcache, Shimcache und UserAssist.