Jak wyczyścić SRUM w Windows?

SRUM, czyli System Resource Usage Monitor, to funkcja Windows rejestrująca, ile procesora, sieci i energii zużywa każdy program, godzina po godzinie. Istnieje głównie na potrzeby raportowania baterii i śledzenia zużycia danych sieciowych, ale efektem ubocznym jest to, że staje się szczegółowym dziennikiem wszystkiego, co działało na Twoim komputerze, niezależnie od tego, czy uruchomiono to z menu Start, skryptu, czy usługi w tle.

Zbieranie danych jest prowadzone przez usługę Diagnostic Policy Service (DPS), która okresowo odpytuje działające i ostatnio uruchamiane procesy oraz zapisuje wyniki w bazie danych. Ponieważ działa niezależnie od Eksploratora, SRUM może wychwycić programy, które inne ślady (jak UserAssist) całkowicie pomijają, a dane mogą utrzymywać się przez wiele tygodni. Są przechowywane jako baza danych ESE (ten sam silnik, którego używa Wyszukiwanie Windows) pod C:\Windows\System32\sru\SRUDB.dat, a kategorie śledzonych danych są konfigurowane pod HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SRUM\Extensions.

Podobnie jak Amcache, rekord SRUM nie zawiera części kosmetycznej, każde pole jest pomiarem tego, co program faktycznie zrobił. Wyjątkowo dokładna czyni go kombinacja: nie tylko to, że program działał, ale ile korzystał z sieci, dysku i baterii, godzina po godzinie, przez wiele tygodni. PrivaZer usuwa te rekordy, dzięki czemu dziennik zużycia zasobów nie pozostaje już w bazie danych.

SRUM nie tylko mówi, że program istniał, mówi, jak był używany: ile ruchu sieciowego wygenerował, jak długo działał na pierwszym planie, w przybliżeniu ile baterii pobrał. Ponieważ zbieranie danych jest prowadzone przez usługę Diagnostic Policy Service, a nie przez Eksploratora, nie ogranicza się do programów uruchamianych dwukrotnym kliknięciem, pojawiają się też procesy w tle i narzędzia wiersza poleceń. To połączenie, obecności i profilu użycia w czasie, sprawia, że SRUM jest cenny dla narzędzi śledczych, nawet gdy inne ślady uruchamiania zostały już wyczyszczone.

Tak. PrivaZer wykrywa i czyści bazę danych SRUM w ramach skanowania, a także może wyczyścić ją osobno.

SRUDB.dat jest zwykle utrzymywany otwartym przez usługę Diagnostic Policy Service podczas działania Windows. PrivaZer zwalnia tę blokadę i bezpiecznie usuwa pliki w C:\Windows\System32\sru, SRUDB.dat oraz wszelkie towarzyszące mu pliki, nadpisując je przed usunięciem, tak aby stare rekordy nie mogły zostać odzyskane za pomocą narzędzi do przywracania lub odzyskiwania danych. Odbywa się to bezpośrednio, w tej samej sesji, bez konieczności ponownego uruchamiania. Wymagane są uprawnienia administratora.

Tak. Odinstalowanie programu i usunięcie jego plików nie usuwa jego historii SRUM. Godzinowe rekordy zużycia procesora, sieci, dysku i energii mogą pozostawać w bazie danych przez wiele tygodni, pokazując nie tylko, że program istniał, ale jak faktycznie był używany, długo po zniknięciu każdego innego jego śladu. Czyszczenie SRUM usuwa ten pozostały zapis.

Tak. SRUM to pamięć podręczna diagnostyczna, którą Windows utrzymuje na potrzeby raportowania baterii i sieci, i odbudowuje ją automatycznie. Wyczyszczenie nie wpływa na zainstalowane programy, pliki ani stabilność systemu. Usługa Diagnostic Policy Service nadal działa (lub uruchamia się ponownie) normalnie, więc funkcje diagnostyczne, które z niej korzystają, nie są trwale naruszone.

Tak, i jest to oczekiwane: usługa Diagnostic Policy Service wznawia swoje godzinowe podsumowania, gdy tylko ponownie zaczniesz korzystać z komputera. Czyszczenie usuwa historyczny ślad sprzed tego momentu, więc śledczy mógłby odzyskać jedynie to, co wydarzyło się później. Uruchamiaj PrivaZer regularnie, aby ten ślad pozostawał krótki.

Wszystkie cztery pokazują, że oprogramowanie istniało lub działało, ale każde rejestruje inny wycinek informacji. SRUM jako jedyny ma godzinowy profil zużycia zasobów: procesora, sieci, dysku i energii, i jako jedyny nie jest powiązany z uruchomieniem GUI. UserAssist rejestruje uruchomienia GUI wraz z liczbą uruchomień i czasem aktywności. Amcache to plik gałęzi rejestru z bogatymi metadanymi dla każdego programu, w tym skrótem SHA-1. Shimcache rejestruje głównie ścieżki i daty ostatniej modyfikacji. Wyczyszczenie tylko jednego pozostawia pozostałe trzy nienaruszone.

Więcej o pozostałych: Amcache, Shimcache i UserAssist.