Как очистить SRUM в Windows?

SRUM (System Resource Usage Monitor, монитор использования системных ресурсов) — это функция Windows, которая почасово фиксирует, сколько ЦП, сети и энергии потребляет каждая программа. Она существует в основном для отчётов о заряде батареи и отслеживания использования сетевых данных, но как побочный эффект становится подробным дневником всего, что запускалось на вашем ПК, — будь то из меню «Пуск», скрипта или фоновой службы.

Сбор данных осуществляется службой политики диагностики (DPS), которая периодически опрашивает запущенные и недавно запущенные процессы и записывает результаты в базу данных. Поскольку она работает независимо от проводника, SRUM может фиксировать программы, которые полностью упускают другие следы (например, UserAssist), а данные могут сохраняться в течение нескольких недель. Она хранится в виде базы данных ESE (той же технологии, что использует поиск Windows) по адресу C:\Windows\System32\sru\SRUDB.dat, при этом категории отслеживаемых данных настраиваются в разделе HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SRUM\Extensions.

Как и Amcache, запись SRUM не содержит косметической части — каждое поле является измерением того, что программа фактически делала. Необычно тщательным её делает сочетание данных: не просто то, что программа выполнялась, а насколько интенсивно она использовала сеть, диск и батарею, по часам, в течение недель. PrivaZer удаляет эти записи, чтобы этот дневник использования ресурсов больше не хранился в базе данных.

SRUM не просто говорит о том, что программа существовала, — он показывает, как она использовалась: сколько сетевого трафика она создала, как долго работала на переднем плане, примерно сколько заряда батареи потребила. Поскольку сбор данных осуществляется службой политики диагностики, а не проводником, это не ограничивается программами, которые вы запускали двойным щелчком, — фоновые процессы и инструменты командной строки тоже отображаются. Именно это сочетание — присутствие плюс профиль использования во времени — делает SRUM ценным для судебно-технических инструментов, даже когда другие следы запуска уже очищены.

Да. PrivaZer обнаруживает и очищает базу данных SRUM в рамках сканирования, а также может очищать её отдельно.

Файл SRUDB.dat обычно остаётся открытым службой политики диагностики во время работы Windows. PrivaZer снимает эту блокировку и безопасно удаляет файлы в C:\Windows\System32\sru, SRUDB.dat и все сопутствующие файлы рядом с ним, перезаписывая их перед удалением, чтобы старые записи нельзя было восстановить с помощью инструментов восстановления удалённых данных. Это происходит непосредственно, в том же сеансе, перезагрузка не нужна. Требуются права администратора.

Да. Удаление программы и её файлов не удаляет её историю SRUM. Почасовые записи использования ЦП, сети, диска и энергии могут оставаться в базе данных неделями, показывая не только то, что программа существовала, но и как она фактически использовалась, долгое время после того, как все остальные следы самой программы исчезли. Именно очистка SRUM удаляет эту оставшуюся запись.

Да. SRUM — это диагностический кэш, который Windows поддерживает для отчётов о батарее и сети, и он автоматически перестраивается. Очистка не влияет на установленные программы, файлы или стабильность системы. Служба политики диагностики продолжает работать (или перезапускается) в обычном режиме, поэтому функции диагностики, зависящие от неё, не страдают навсегда.

Да, и это ожидаемо: служба политики диагностики возобновляет почасовые сводки, как только вы снова начинаете пользоваться ПК. Очистка удаляет накопленный след на данный момент, поэтому эксперт сможет восстановить только то, что произошло после. Запускайте PrivaZer периодически, чтобы этот след оставался коротким.

Все четыре артефакта показывают, что программное обеспечение существовало или выполнялось, но каждый фиксирует свой срез данных. SRUM — единственный с почасовым профилем использования ресурсов (ЦП, сеть, диск и энергия) и единственный, не привязанный к запуску через GUI. UserAssist фиксирует запуски через GUI со счётчиком запусков и временем в фокусе. Amcache — это файл куста с подробными метаданными о каждой программе, включая хеш SHA-1. Shimcache в основном фиксирует пути и даты последнего изменения. Очистка только одного из них оставляет остальные три нетронутыми.

Об остальных см.: Amcache, Shimcache и UserAssist.