Baza SRU: jak Windows po cichu prowadzi dziennik twojej aktywności

Windows po cichu prowadzi dziennik wszystkiego, co uruchamiasz: czas procesora, ruch na dysku i sieci dla każdej aplikacji, przechowywany tygodniami w C:\Windows\System32\SRU. To nie jest szpiegowski moduł i sam z siebie nic nikomu nie wysyła, ale to właśnie ta baza jest najbardziej szczegółowym zapisem twoich przyzwyczajeń na dysku — warto wiedzieć, co ma w środku i kto potrafi ją odczytać.

Gdzie leży i co zapisuje

Całość zapisuje System Resource Usage Monitor do pliku SRUDB.dat — bazy na silniku Extensible Storage Engine, tej samej rodzinie Jet, na której pracują Exchange i Active Directory. Dla każdego procesu Windows odnotowuje kawałki czasu procesora, bajty odczytane i zapisane, ruch sieciowy per interfejs oraz znaczniki czasu sesji, pogrupowane w wiadra godzinowe i dzienne. Folder C:\Windows\System32\SRU jest zamknięty dla wszystkich poza SYSTEM i administratorami, więc zwykłe programy i karty przeglądarki nie zajrzą do środka. Historia toczy się mniej więcej miesiąc, na niektórych kompilacjach i przy niektórych obciążeniach dłużej. Nie ma tu nic egzotycznego: to źródło danych dla ekranów, które otwierasz co tydzień.

Karta „Historia aplikacji” w Menedżerze zadań, strona „Użycie danych” w Ustawieniach i raport zużycia baterii per aplikacja czytają wszystkie z tej jednej bazy. Szczera interpretacja brzmi tak: to najpierw system księgowy, a dopiero potem kwestia prywatności. Windows potrzebuje statystyk, żeby powiedzieć ci, co rozładowało baterię — SRU to po prostu miejsce, gdzie te statystyki mieszkają.

SRUDB.dat w C:\Windows\System32\SRU — baza ESE, czytelna tylko z uprawnieniami administratora
Czas procesora dla każdej aplikacji, pocięty na plastry godzinowe i dzienne
Bajty odczytane i zapisane przez każdy program
Ruch sieciowy per aplikacja i per interfejs sieciowy
Zdarzenia sesji aplikacji ze znacznikami czasu, łącznie z aplikacjami już odinstalowanymi
Mniej więcej miesiąc „toczącej się” historii na typowej kompilacji

Kto to czyta — także ludzie, których nie zapraszałeś

Dla biegłych sądowych SRU to prezent: dostawszy obraz dysku, odtworzą, które programy działały, kiedy i jak intensywnie przez ostatnie kilka tygodni. „Zostaje lokalnie” to prawda, ale niepełna — pliki lokalne to dokładnie to, czego szuka złodziej, ciekawski serwisant albo każdy, kto ma pięć minut i bootowalny pendrive. Malware potrzebuje uprawnień administratora, żeby ją odczytać — a porządny malware często je ma.

Co realnie daje usunięcie

Folder SRU można wyczyścić — najprościej ze środowiska odzyskiwania, bo przy działającym Windows pliki są zablokowane — a Windows spokojnie zbuduje bazę od zera. Nagrodą jest wyzerowana statystyka: „Historia aplikacji” i „Użycie danych” wystartują od zera i nic poza tym się nie zmieni. Zbieranie danych nie zostanie zatrzymane, komputer nie przyspieszy, a dziesiątki innych śladów aktywności, które trzyma Windows, zostaną nietknięte. Sprzedajesz maszynę? Jedyną uczciwą odpowiedzią jest wyczyszczenie dysku z czystą instalacją, nie operacja na bazie. Dla maszyny, którą zostawiasz sobie, prawdziwą ochroną jest szyfrowanie całego dysku, np. BitLocker — cały nośnik, SRU włącznie, staje się nieczytelny offline.

Pytania i odpowiedzi

Co to za plik SRUDB.dat w Windows?

To baza System Resource Usage Monitor w folderze C:\Windows\System32\SRU — plik ESE, w którym Windows tygodniami zapisuje zużycie CPU, dysku i sieci per aplikacja. Stamtąd czerpią „Historia aplikacji”, „Użycie danych” i raporty o baterii.

Czy można usunąć bazę SRU w Windows?

Tak — ze środowiska odzyskiwania albo z podniesionymi uprawnieniami — a Windows zbuduje ją od nowa. Statystyka się wyzeruje, ale nic się nie zatrzyma; realna ochrona to szyfrowanie całego dysku, a przed sprzedażą — czysta instalacja.