Come pulire SRUM su Windows?

SRUM, il System Resource Usage Monitor, è una funzione di Windows che registra quanta CPU, rete ed energia consuma ogni programma, ora per ora. Esiste principalmente per il resoconto della batteria e il tracciamento dell'utilizzo dei dati di rete, ma come effetto collaterale diventa un diario dettagliato di tutto ciò che è stato eseguito sul tuo PC, sia esso avviato dal menu Start, da uno script o da un servizio in background.

La raccolta è gestita dal Diagnostic Policy Service (DPS), che interroga periodicamente i processi in esecuzione e quelli eseguiti di recente e scrive i risultati in un database. Poiché funziona indipendentemente da Explorer, SRUM può catturare programmi che altre tracce (come UserAssist) mancano completamente, e i dati possono persistere per diverse settimane. È memorizzato come database ESE (lo stesso motore usato da Windows Search) in C:\Windows\System32\sru\SRUDB.dat, con le categorie di dati tracciati configurate sotto HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SRUM\Extensions.

Come Amcache, un record SRUM non ha alcuna parte estetica, ogni campo è una misurazione di ciò che un programma ha effettivamente fatto. Ciò che lo rende insolitamente approfondito è la combinazione: non solo che un programma sia stato eseguito, ma quanto abbia usato la rete, il disco e la batteria, ora per ora, per settimane. PrivaZer rimuove questi record in modo che questo diario di utilizzo delle risorse non rimanga più nel database.

SRUM non dice solo che un programma è esistito, dice come è stato usato: quanto traffico di rete ha generato, per quanto tempo è rimasto in primo piano, approssimativamente quanta batteria ha consumato. Poiché la raccolta è gestita dal Diagnostic Policy Service anziché da Explorer, non si limita ai programmi su cui hai fatto doppio clic: compaiono anche processi in background e strumenti a riga di comando. Questa combinazione, presenza più un profilo di utilizzo nel tempo, è ciò che rende SRUM prezioso per gli strumenti forensi anche quando altre tracce di esecuzione sono già state cancellate.

Sì. PrivaZer rileva e cancella il database SRUM come parte di una scansione, e può anche mirare a esso singolarmente.

SRUDB.dat è normalmente tenuto aperto dal Diagnostic Policy Service mentre Windows è in esecuzione. PrivaZer rilascia quel blocco ed elimina in modo sicuro i file in C:\Windows\System32\sru, SRUDB.dat e qualsiasi file complementare accanto a esso, sovrascrivendoli prima della rimozione in modo che i vecchi record non possano essere recuperati con strumenti di ripristino o recupero dati. Questo avviene direttamente, nella stessa sessione, senza bisogno di riavvio. Sono richiesti diritti di amministratore.

Sì. Disinstallare un programma ed eliminarne i file non rimuove la sua cronologia in SRUM. I record orari del suo utilizzo di CPU, rete, disco ed energia possono rimanere nel database per settimane, mostrando non solo che il programma è esistito ma come è stato effettivamente usato, molto tempo dopo che ogni traccia del programma stesso è scomparsa. Pulire SRUM è ciò che elimina questa registrazione residua.

Sì. SRUM è una cache diagnostica che Windows mantiene per il resoconto della batteria e della rete, e si ricostruisce automaticamente. Cancellarla non influisce sui programmi installati, sui file o sulla stabilità del sistema. Il Diagnostic Policy Service continua a funzionare (o si riavvia) normalmente, quindi le funzioni di risoluzione dei problemi che ne dipendono non vengono influenzate in modo permanente.

Sì, ed è previsto: il Diagnostic Policy Service riprende i suoi riepiloghi orari non appena riusi il PC. La pulizia rimuove la traccia storica accumulata fino a quel momento, quindi ciò che un esaminatore potrebbe recuperare è solo ciò che è successo da allora. Esegui PrivaZer periodicamente per mantenere quella traccia ridotta.

Tutti e quattro mostrano che un software è esistito o è stato eseguito, ma ognuno cattura un aspetto diverso. SRUM è l'unico con un profilo orario di utilizzo delle risorse, CPU, rete, disco ed energia, e l'unico che non è legato a un avvio dalla GUI. UserAssist registra gli avvii dalla GUI con un conteggio delle esecuzioni e il tempo in primo piano. Amcache è un file hive con ricchi metadati per programma incluso un hash SHA-1. Shimcache registra principalmente percorsi e date dell'ultima modifica. Pulirne solo uno lascia intatti gli altri tre.

Per gli altri, vedi: Amcache, Shimcache e UserAssist.