Como Limpar o SRUM no Windows?

O SRUM, System Resource Usage Monitor, é um recurso do Windows que registra quanto de CPU, rede e energia cada programa consome, hora a hora. Ele existe principalmente para relatórios de bateria e rastreamento do uso de dados de rede, mas, como efeito colateral, se torna um diário detalhado de tudo que foi executado no seu PC, quer tenha sido iniciado pelo Menu Iniciar, um script, ou um serviço em segundo plano.

A coleta é conduzida pelo Diagnostic Policy Service (DPS), que consulta periodicamente processos em execução e recém-executados e grava os resultados em um banco de dados. Como funciona independentemente do Explorador, o SRUM pode capturar programas que outros rastros (como o UserAssist) perdem completamente, e os dados podem persistir por várias semanas. Ele é armazenado como um banco de dados ESE (o mesmo mecanismo usado pela Pesquisa do Windows) em C:\Windows\System32\sru\SRUDB.dat, com as categorias de dados que rastreia configuradas em HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SRUM\Extensions.

Assim como o Amcache, um registro do SRUM não tem nenhuma parte cosmética, cada campo é uma medição do que um programa realmente fez. O que o torna incomumente detalhado é a combinação: não apenas que um programa foi executado, mas quanto ele usou de rede, disco e bateria, hora a hora, por semanas. O PrivaZer remove esses registros para que esse diário de uso de recursos não fique mais no banco de dados.

O SRUM não diz apenas que um programa existiu, ele diz como foi usado: quanto tráfego de rede gerou, por quanto tempo ficou em primeiro plano, aproximadamente quanta bateria consumiu. Como a coleta é conduzida pelo Diagnostic Policy Service, e não pelo Explorador, não se limita a programas em que você deu duplo clique, processos em segundo plano e ferramentas de linha de comando também aparecem. Essa combinação, presença mais um perfil de uso ao longo do tempo, é o que torna o SRUM valioso para ferramentas forenses mesmo quando outros rastros de execução já foram limpos.

Sim. O PrivaZer detecta e limpa o banco de dados do SRUM como parte de uma verificação, e também pode direcioná-lo individualmente.

O SRUDB.dat normalmente é mantido aberto pelo Diagnostic Policy Service enquanto o Windows está em execução. O PrivaZer libera esse bloqueio e exclui com segurança os arquivos em C:\Windows\System32\sru, SRUDB.dat e quaisquer arquivos complementares junto a ele, sobrescrevendo-os antes da remoção para que os registros antigos não possam ser recuperados com ferramentas de desfazer exclusão ou recuperação de dados. Isso acontece diretamente, na mesma sessão, nenhuma reinicialização é necessária. Direitos de administrador são exigidos.

Sim. Desinstalar um programa e excluir seus arquivos não remove seu histórico no SRUM. Os registros por hora de seu uso de CPU, rede, disco e energia podem permanecer no banco de dados por semanas, mostrando não apenas que o programa existiu, mas como foi realmente usado, muito depois que todo rastro do próprio programa desapareceu. Limpar o SRUM é o que remove esse registro residual.

Sim. O SRUM é um cache de diagnóstico que o Windows mantém para relatórios de bateria e rede, e ele se reconstrói automaticamente. Limpá-lo não afeta seus programas instalados, seus arquivos ou a estabilidade do sistema. O Diagnostic Policy Service continua em execução (ou reinicia) normalmente, então recursos de solução de problemas que dependem dele não são afetados permanentemente.

Sim, e isso é esperado: o Diagnostic Policy Service retoma seus resumos por hora assim que você volta a usar o PC. A limpeza remove o rastro histórico até aquele ponto, então o que um examinador poderia recuperar é apenas o que aconteceu desde então. Execute o PrivaZer periodicamente para manter esse rastro curto.

Todos os quatro mostram que um software existiu ou foi executado, mas cada um captura uma fatia diferente. O SRUM é o único com um perfil de uso de recursos por hora, CPU, rede, disco e energia, e o único que não está vinculado a uma inicialização pela GUI. O UserAssist registra inicializações pela GUI com um contador de execuções e o tempo de foco. O Amcache é um arquivo hive com metadados ricos por programa, incluindo um hash SHA-1. O Shimcache registra principalmente caminhos e datas de última modificação. Limpar apenas um deixa os outros três intactos.

Para os outros, veja: Amcache, Shimcache e UserAssist.