Så rensar du SRUM i Windows?

SRUM, System Resource Usage Monitor, är en Windows-funktion som loggar hur mycket CPU, nätverk och energi varje program förbrukar, timme för timme. Den finns huvudsakligen för batterirapportering och spårning av nätverksdataanvändning, men som en bieffekt blir den en detaljerad dagbok över allt som kördes på din dator, oavsett om det startades från Start-menyn, ett skript, eller en bakgrundstjänst.

Insamlingen drivs av Diagnostic Policy Service (DPS), som regelbundet frågar körande och nyligen körda processer och skriver resultaten till en databas. Eftersom den fungerar oberoende av Utforskaren kan SRUM fånga program som andra spår (som UserAssist) missar helt, och datan kan finnas kvar i flera veckor. Den lagras som en ESE-databas (samma motor som används av Windows Search) i C:\Windows\System32\sru\SRUDB.dat, med de datakategorier den spårar konfigurerade under HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SRUM\Extensions.

Precis som Amcache har en SRUM-post ingen kosmetisk del, varje fält är en mätning av vad ett program faktiskt gjorde. Det som gör den ovanligt grundlig är kombinationen: inte bara att ett program kördes, utan hur mycket det använde nätverket, disken och batteriet, timme för timme, i veckor. PrivaZer tar bort dessa poster så att den resursanvändningsdagboken inte längre finns kvar i databasen.

SRUM säger inte bara att ett program existerade, den säger hur det användes: hur mycket nätverkstrafik det genererade, hur länge det kördes i förgrunden, ungefär hur mycket batteri det drog. Eftersom insamlingen drivs av Diagnostic Policy Service snarare än av Utforskaren är den inte begränsad till program du dubbelklickade på, bakgrundsprocesser och kommandoradsverktyg dyker också upp. Den kombinationen, närvaro plus en användningsprofil över tid, är det som gör SRUM värdefullt för forensiska verktyg även när andra körningsspår redan har rensats.

Ja. PrivaZer upptäcker och rensar SRUM-databasen som en del av en skanning, och kan även rikta in sig på den separat.

SRUDB.dat hålls normalt öppen av Diagnostic Policy Service medan Windows körs. PrivaZer släpper det låset och tar bort filerna säkert i C:\Windows\System32\sru, SRUDB.dat och eventuella kompletterande filer bredvid den, och skriver över dem innan borttagning så att de gamla posterna inte kan hämtas tillbaka med återställnings- eller dataåterställningsverktyg. Det sker direkt, i samma session, ingen omstart behövs. Administratörsrättigheter krävs.

Ja. Att avinstallera ett program och radera dess filer tar inte bort dess SRUM-historik. De timvisa posterna om dess CPU-, nätverks-, disk- och energianvändning kan finnas kvar i databasen i veckor, och visa inte bara att programmet existerade utan hur det faktiskt användes, långt efter att alla spår av själva programmet är borta. Att rensa SRUM är det som tar bort den kvarlämnade uppgiften.

Ja. SRUM är en diagnostikcache som Windows underhåller för batteri- och nätverksrapportering, och den bygger upp sig själv automatiskt. Att rensa den påverkar inte dina installerade program, dina filer eller systemets stabilitet. Diagnostic Policy Service fortsätter att köras (eller startar om) som vanligt, så felsökningsfunktioner som förlitar sig på den påverkas inte permanent.

Ja, och det är förväntat: Diagnostic Policy Service återupptar sina timvisa sammanställningar så snart du använder datorn igen. Rensning tar bort det historiska spåret fram till den punkten, så det en utredare kan återställa är bara det som hänt sedan dess. Kör PrivaZer regelbundet för att hålla spåret kort.

Alla fyra visar att programvara existerade eller kördes, men var och en fångar en annan del. SRUM är den enda med en timvis resursanvändningsprofil, CPU, nätverk, disk och energi, och den enda som inte är kopplad till en GUI-start. UserAssist loggar GUI-starter med antal körningar och fokustid. Amcache är en hive-fil med rika metadata per program, inklusive en SHA-1-hash. Shimcache loggar huvudsakligen sökvägar och senast ändrat-datum. Att bara rensa en lämnar de andra tre orörda.

För de andra, se: Amcache, Shimcache och UserAssist.