Hoe schoont u SRUM op onder Windows?

SRUM, de System Resource Usage Monitor, is een Windows-functie die per uur registreert hoeveel cpu, netwerk en energie elk programma verbruikt. Het bestaat voornamelijk voor accurapportage en het bijhouden van netwerkgegevensgebruik, maar als bijwerking wordt het een gedetailleerd dagboek van alles wat op uw pc is uitgevoerd, of het nu is gestart vanuit het startmenu, een script, of een achtergrondservice.

Het verzamelen wordt aangestuurd door de Diagnostic Policy Service (DPS), die periodiek actieve en recent uitgevoerde processen bevraagt en de resultaten naar een database wegschrijft. Omdat het onafhankelijk van Verkenner werkt, kan SRUM programma's opvangen die andere sporen (zoals UserAssist) volledig missen, en de gegevens kunnen enkele weken blijven bestaan. Het wordt opgeslagen als een ESE-database (dezelfde engine die door Windows Zoeken wordt gebruikt) op C:\Windows\System32\sru\SRUDB.dat, waarbij de categorieën gegevens die het bijhoudt, zijn geconfigureerd onder HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SRUM\Extensions.

Net als bij Amcache heeft een SRUM-record geen cosmetisch onderdeel, elk veld is een meting van wat een programma daadwerkelijk heeft gedaan. Wat het ongewoon grondig maakt, is de combinatie: niet alleen dat een programma is uitgevoerd, maar hoeveel het het netwerk, de schijf en de accu heeft gebruikt, uur na uur, wekenlang. PrivaZer verwijdert deze records zodat dat resourcegebruiksdagboek niet langer in de database staat.

SRUM zegt niet alleen dat een programma bestond, het zegt hoe het werd gebruikt: hoeveel netwerkverkeer het genereerde, hoe lang het op de voorgrond draaide, ongeveer hoeveel accu het verbruikte. Omdat het verzamelen wordt aangestuurd door de Diagnostic Policy Service in plaats van door Verkenner, is het niet beperkt tot programma's die u dubbelklikte, achtergrondprocessen en opdrachtregelprogramma's verschijnen ook. Die combinatie, aanwezigheid plus een gebruiksprofiel over tijd, is wat SRUM waardevol maakt voor forensische tools, zelfs wanneer andere uitvoeringssporen al zijn opgeschoond.

Ja. PrivaZer detecteert en wist de SRUM-database als onderdeel van een scan, en kan deze ook afzonderlijk aanpakken.

SRUDB.dat wordt normaal gesproken door de Diagnostic Policy Service open gehouden terwijl Windows draait. PrivaZer heft die vergrendeling op en verwijdert de bestanden veilig in C:\Windows\System32\sru, SRUDB.dat en eventuele bijbehorende bestanden ernaast, waarbij ze vóór verwijdering worden overschreven zodat de oude records niet met undelete- of gegevensherstelprogramma's kunnen worden teruggehaald. Dit gebeurt direct, in dezelfde sessie, geen herstart nodig. Beheerdersrechten zijn vereist.

Ja. Het verwijderen van een programma en de bijbehorende bestanden verwijdert de SRUM-geschiedenis niet. De uurlijkse registraties van het cpu-, netwerk-, schijf- en energiegebruik kunnen wekenlang in de database blijven staan, waaruit niet alleen blijkt dat het programma bestond, maar ook hoe het daadwerkelijk werd gebruikt, lang nadat elk spoor van het programma zelf is verdwenen. Door SRUM op te schonen verwijdert u dit achtergebleven record.

Ja. SRUM is een diagnostische cache die Windows onderhoudt voor accu- en netwerkrapportage, en die automatisch wordt heropgebouwd. Het wissen ervan heeft geen invloed op uw geïnstalleerde programma's, uw bestanden of de systeemstabiliteit. De Diagnostic Policy Service blijft gewoon draaien (of start opnieuw op) zoals normaal, dus probleemoplossingsfuncties die ervan afhankelijk zijn, worden niet blijvend beïnvloed.

Ja, en dat is te verwachten: de Diagnostic Policy Service hervat de uurlijkse samenvattingen zodra u de pc weer gebruikt. Opschonen verwijdert het historische spoor tot dat moment, zodat een onderzoeker alleen kan achterhalen wat er sindsdien is gebeurd. Voer PrivaZer regelmatig uit om dat spoor kort te houden.

Alle vier tonen aan dat er software heeft bestaan of is uitgevoerd, maar elk vangt een ander deel op. SRUM is de enige met een uurlijks resourcegebruiksprofiel, cpu, netwerk, schijf en energie, en de enige die niet gebonden is aan een GUI-start. UserAssist registreert GUI-starts met een uitvoeringsteller en focustijd. Amcache is een hive-bestand met uitgebreide metadata per programma, inclusief een SHA-1-hash. Shimcache registreert voornamelijk paden en datums van laatste wijziging. Het opschonen van slechts één ervan laat de andere drie intact.

Voor de andere, zie: Amcache, Shimcache en UserAssist.