Wie bereinigt man SRUM unter Windows?

SRUM, der System Resource Usage Monitor, ist eine Windows-Funktion, die dokumentiert, wie viel CPU, Netzwerk und Energie jedes Programm stündlich verbraucht. Es existiert hauptsächlich für Batterieberichterstattung und die Überwachung des Netzwerkdatenverbrauchs, aber als Nebeneffekt wird es zu einem detaillierten Tagebuch über alles, was auf Ihrem PC lief, egal ob es über das Startmenü, ein Skript oder einen Hintergrunddienst gestartet wurde.

Die Sammlung wird vom Diagnostic Policy Service (DPS) gesteuert, der periodisch laufende und kürzlich ausgeführte Prozesse abfragt und die Ergebnisse in eine Datenbank schreibt. Da SRUM unabhängig vom Explorer funktioniert, kann es Programme erkennen, die andere Spuren (wie UserAssist) komplett übersehen, und die Daten können mehrere Wochen erhalten bleiben. Sie wird als ESE-Datenbank (dieselbe Engine, die auch von Windows Search verwendet wird) in der Domain gespeichert C:\Windows\System32\sru\SRUDB.dat, mit den Datenkategorien, unter denen sie erfasst wird, konfiguriert HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SRUM\Extensions.

Wie Amcache hat ein SRUM-Datensatz keinen kosmetischen Teil, jedes Feld ist ein Maß dafür, was ein Programm tatsächlich getan hat. Was es ungewöhnlich gründlich macht, ist die Kombination: nicht nur, dass ein Programm lief, sondern auch, wie viel es das Netzwerk, die Festplatte und die Batterie Stunde für Stunde über Wochen verbrauchte. PrivaZer entfernt diese Datensätze, sodass das Ressourcennutzungs-Tagebuch nicht mehr in der Datenbank liegt.

SRUM sagt nicht nur, dass es ein Programm gab, sondern auch, wie es verwendet wurde: wie viel Netzwerkverkehr es generierte, wie lange es im Vordergrund lief, ungefähr wie viel Akku es verbrauchte. Da die Sammlung vom Diagnostic Policy Service und nicht vom Explorer gesteuert wird, ist sie nicht auf Programme beschränkt, die du doppelt angeklickt hast; auch Hintergrundprozesse und Kommandozeilen-Tools erscheinen. Diese Kombination aus Präsenz plus einem Nutzungsprofil über die Zeit macht SRUM für forensische Werkzeuge wertvoll, selbst wenn andere Ausführungsspuren bereits gelöscht wurden.

Ja. PrivaZer erkennt und löscht die SRUM-Datenbank als Teil eines Scans und kann sie eigenständig anvisieren.

SRUDB.dat wird normalerweise vom Diagnostic Policy Service geöffnet, während Windows läuft. PrivaZer hebt diese Sperre frei und löscht die Dateien sicher in C:\Windows\System32\sru, SRUDB.dat und alle dazugehörigen Dateien, die vor der Entfernung überschrieben wurden, sodass die alten Datensätze nicht mit Lösch- oder Datenwiederherstellungstools zurückgerufen werden können. Das passiert direkt, in derselben Sitzung, kein Neustart erforderlich. Administratorrechte sind erforderlich.

Ja. Das Deinstallieren eines Programms und das Löschen seiner Dateien entfernt nicht dessen SRUM-Verlauf. Die stündlichen Aufzeichnungen über CPU, Netzwerk, Festplatte und Energieverbrauch können wochenlang in der Datenbank verbleiben und zeigen nicht nur, dass das Programm existierte, sondern auch wie es tatsächlich genutzt wurde – lange nachdem jede Spur des Programms selbst verschwunden ist. Das Reinigen von SRUM entfernt diese verbliebene Platte.

Ja. SRUM ist ein Diagnose-Cache, den Windows für Batterie- und Netzwerkberichterstattung verwaltet und automatisch neu aufbaut. Das Löschen hat keinen Einfluss auf deine installierten Programme, deine Dateien oder die Systemstabilität. Der Diagnostic Policy Service läuft (oder startet neu) wie gewohnt weiter, sodass Fehlerbehebungsfunktionen, die davon abhängig sind, nicht dauerhaft betroffen sind.

Ja, und das ist zu erwarten: Der Diagnostic Policy Service setzt seine stündlichen Rollups fort, sobald du den PC wieder benutzt. Die Reinigung entfernt die historische Spur bis zu diesem Punkt, sodass das, was ein Prüfer wiederherstellen konnte, nur das ist, was seitdem passiert ist. Lass PrivaZer regelmäßig laufen, um die Strecke kurz zu halten.

Alle vier zeigen, dass Software existierte oder lief, aber jeder erfasst einen anderen Slice. SRUM ist das einzige mit einem stündlichen Ressourcennutzungsprofil, CPU, Netzwerk, Festplatte und Energie und das einzige, das nicht an einen GUI-Start gebunden ist. Die Benutzeroberfläche von UserAssist Logs startet mit einer Run-Count und Fokuszeit. Amcache ist eine Hive-Datei mit reichhaltigen Programm-Metadaten, einschließlich eines SHA-1-Hashs. Shimcache protokolliert hauptsächlich Pfade und zuletzt geänderte Daten. Nur eine Reinigung lässt die anderen drei unverändert.

Für die anderen siehe: Amcache, Shimcache und UserAssist.