SRU データベースとは：Windows が密かに記録する利用履歴の正体

Windows は、起動したすべてのものについて静かな日記をつけています。アプリごとの CPU 時間、ディスクとネットワークのトラフィックが C:\Windows\System32\SRU に数週間保管されるのです。これはスパイウェアではなく、単独でどこかへ送信されることもありません。それでも、ディスク上にあるあなたの習慣の記録として最も詳しいものがこのデータベースです。中に何が入っていて、誰が読めるのかを知っておく価値はあります。

どこにあり、何を書き込むのか

この記録はすべて System Resource Usage Monitor が SRUDB.dat に書き込みます。Exchange と Active Directory を動かしているのと同じ Jet 系の Extensible Storage Engine 上のデータベースです。Windows はプロセスごとに、CPU 時間の断片、読み書きされたバイト数、インターフェイス別のネットワークトラフィック、セッションのタイムスタンプを記録し、1時間単位と1日単位の枠にまとめます。フォルダー C:\Windows\System32\SRU は SYSTEM と Administrators 以外には閉ざされているため、普通のアプリやブラウザーのタブは中を覗けません。履歴はおよそ1か月、ビルドや負荷によってはそれ以上続きます。何も特別な話ではありません。多くの人が毎週開く画面のデータソースにすぎないのです。

タスクマネージャーの「アプリ履歴」タブ、設定の「データ使用量」ページ、アプリ別のバッテリー使用レポートは、すべてこのひとつのデータベースから読み出しています。正直な位置づけはこうです。まず会計システムであり、その次にプライバシーの問題だということ。Windows が何がバッテリーを消耗したかを伝えるには利用統計が必要で、SRU は単にその置き場所なのです。

C:\Windows\System32\SRU 内の SRUDB.dat — 管理者権限がなければ読めない ESE データベース
アプリごとの CPU 時間。1時間単位・1日単位に切り分け
各プログラムが読み書きしたバイト数
アプリ別・ネットワークインターフェイス別のトラフィック
タイムスタンプ付きのアプリセッション記録。アンインストール済みのアプリも含む
標準的なビルドでおよそ1か月のローリング履歴

誰が読むのか — 招かざる人も含めて

フォレンジック調査官にとって SRU は贈り物です。ディスクイメージを渡せば、この数週間にどのプログラムが、いつ、どれほど集中的に動いたかを再構築します。「ローカルに留まる」は本当ですが完全ではありません。ローカルファイルこそ、泥棒や物見好きの技術者、5分とライブUSBを持つ誰もが狙うものだからです。マルウェアがこれを読むには管理者権限が必要ですが、出来のいいマルウェアはしばしばそれを持っています。

削除して実際に得られるもの

SRU フォルダーは空にできます。Windows 起動中はファイルがロックされるため、最も簡単なのは回復環境から行うことです。Windows は落ち着いてデータベースをゼロから作り直します。得られるのはリセットされた統計です。「アプリ履歴」と「データ使用量」がゼロから始まるだけで、他は何も変わりません。収集は止まらず、PC は速くならず、Windows が保管する他の多数の活動痕跡は手つかずのままです。マシンを売るなら、正直な答えはクリーンインストールを伴うディスクの消去であって、データベースへの手術ではありません。手元に残すマシンなら、本当の防御は BitLocker のようなフルディスク暗号化です。ディスク全体が SRU ごとオフラインでは読めなくなります。

よくある質問

Windows の SRUDB.dat ファイルとは何ですか？

C:\Windows\System32\SRU にある System Resource Usage Monitor のデータベースです。Windows がアプリごとの CPU・ディスク・ネットワーク使用量を数週間書き込む ESE ファイルで、「アプリ履歴」「データ使用量」、バッテリーレポートの元になっています。

Windows の SRU データベースは削除できますか？

できます。回復環境から、または管理者権限で行えば、Windows が自動で作り直します。利用統計はリセットされますが、何も止まりません。本当の防御はフルディスク暗号化、PC を売る前ならクリーンインストールです。