Khi dùng máy, bỗng nghe fan to hơn hoặc thấy CPU spike mà không mở task mới. Trên điện thoại, dễ thấy gì launch khi nào, nhưng Windows không cho activity history sạch.
Tuy nhiên, không nghĩa là data về gì chạy không có trên máy. Windows thực sự ghi và lưu executable activity khắp nơi trên thiết bị. Nếu biết tìm đâu, có thể ghép data lại, thông tin đó rất hữu ích manage/troubleshoot máy.
Windows đã giữ record gì chạy
Data tồn tại — chỉ rải rác khắp hệ thống
Hoạt động ứng dụng gắn với performance optimization, security logging, compatibility tracking; đó là lý do Windows ghi lại.
Về mặt OS, chỉ có 3 nguồn chính thông tin này. Thứ nhất: Prefetch, log execution nhằm speed up launch sau. Thứ hai: Event Viewer, hữu ích xem process trigger crash, quan trọng hơn: miễn bật auditing, log process creation events. Thứ ba: AmCache, repository metadata cho app đã chạy hoặc hiện diện.
Ba service này riêng lẻ capture segment app activity. Vậy riêng lẻ không luôn có timeline hoàn chỉnh. Tuy nhiên Prefetch accessible nhất vì không cần config extra để truy cập data sẵn sàng đọc.
Prefetch là thứ gần nhất với app activity history
Log gì chạy như side effect của việc tăng tốc
Khi app launch, OS track file dùng để pre-load lần launch sau. Cách thông minh optimize speed. Nhưng cũng có side effect: record mọi execution.
Tất cả execution records lưu tại: C:\Windows\Prefetch. Chạy app khiến Windows tạo file .pf. File tên theo executable, kèm hash generated từ location app launch. Nghĩa là một program có thể có vài file .pf nếu chạy từ location khác nhau.
Tuy nhiên file này hold nhiều detail thú vị: executable name, full path, run count, last launch time, và (Windows mới) tới 8 recent timestamps gần nhất.
Điều làm log giá trị hơn trên hệ thống hiện đại: nó giữ ~1,024 Prefetch entries trước khi overwrite. Range activity đủ cho hầu hết use case. Tốt hơn, ngay sau uninstall app, entries không tự xóa. Chúng còn lại footprint vững chắc từ hoạt động quá khứ.
Trên hệ thống hiện đại chạy SSD, Prefetch có thể disabled vì không mang lợi thế performance lớn. Nếu folder rỗng, nghĩa là Prefetch disabled hoặc không dùng. May mắn còn option khác.
WinPrefetchView làm raw system data dễ hiểu
Prefetch files binary, không human-readable (không mở được text editor). Đây chỗ tool đơn giản WinPrefetchView từ NirSoft hữu ích. Tool officially support Windows XP through 10, nhưng cũng chạy trên Windows 11. Tool chỉ đọc static system data.
Download, extract, tự động scan máy và populate interface với file .pf. Hiện executable name, số lần chạy, run times, first recorded time. Cũng hiện location program trên disk.
Tác giả thích sort by recent activity xây timeline làm sense data. Cũng, dưới tab Options, dùng Hide Programs Under Windows Folder loại system-level processes khỏi view.
| Cột | Cho biết gì | Tìm gì |
|---|---|---|
| Run Counter | App chạy bao nhiêu lần | Count cao cho app lạ |
| Last Run Time | Execution gần nhất | Hoạt động giờ lạ |
| Created Time | Lần đầu ghi nhận | App mới introduce |
| File Path | App ở đâu trên disk | Thư mục tạm hoặc directory unusual |
Khi lọc data, điểm then chốt để hiểu:
- Tên executable lạ值得 closer look.
- Run count cao chỉ background activity.
- File path trỏ thư mục tạm đáng attention.
- Timestamp không khớp usage pattern có thể lộ automation.
Khi interpret data, nhớ nó chỉ hiện gì chạy, không nhất thiết nó làm gì. Đừng over-interpret.
Khi Prefetch không hiện gì
Nếu không có data trong Prefetch, có option khác. Thứ nhất: AmCache, path: C:\Windows\AppCompat\Programs\Amcache.hve. File này hiện metadata app chạy, kể cả path và identifier. Dù detailed hơn Prefetch vài cách, không confirm execution chắc chắn luôn.
Trong Event Viewer, process gắn Event ID 4688 thường có detail gì chạy khi nào. Tuy nhiên không log mặc định Windows, cần enable process auditing thủ công, option cho advanced users.
Khi Prefetch có data, là go-to dễ nhất; AmCache fill gap khi Prefetch rỗng.