Windowsの隠れたアクティビティログを発見！安全にアクセスして確認する方法

パソコンを使っていると、新しい作業を始めていないのにファンの音が急に大きくなったり、CPU使用率が突然跳ね上がったりすることがあります。スマートフォンなら「どのアプリが、いつ起動したのか」を比較的簡単に確認できますが、Windowsにはそうした見やすいアクティビティ履歴が用意されていません。

しかし、それは「何も記録されていない」という意味ではありません。Windowsは実際、デバイス内のさまざまな場所に実行ファイルの動きを記録・保存しています。どこを見ればよいのかを知っていれば、これらの断片をつなぎ合わせることができ、PCの管理やトラブルシューティングに役立つ貴重な情報になります。

Windowsはすでに「何が実行されたか」を記録している

データは存在する――ただし、システム内に散らばっている

アプリの動きが記録されるのは、パフォーマンスの最適化、セキュリティログ、互換性の追跡といった目的と結びついているからです。Windowsにとって、この情報源は主に次の3つです。

1つ目はPrefetch(プリフェッチ)です。今後の起動を高速化することを目的に、プログラムの実行を記録します。2つ目はイベントビューアー(Event Viewer)です。クラッシュを引き起こすプロセスの把握に役立つほか、監査ポリシーが有効になっていれば、プロセス作成イベントをログに残します。3つ目はAmCacheで、実行された、あるいは存在したことのあるアプリケーションのメタデータを保管するリポジトリとして機能します。

この3つはそれぞれ独立してアプリの活動の一部を捉えているため、単体では完全なタイムラインになるとは限りません。その中でもPrefetchは、追加設定なしでデータにアクセスできるため、最初の調査起点として最も手軽な選択肢になります。

Prefetchはアプリの実行履歴に最も近い存在

動作を速くするための仕組みが、副作用として実行記録を残す

アプリを起動すると、OSはそのアプリが使用するファイルを追跡し、次回の起動時にあらかじめ読み込めるようにします。これは賢い速度最適化の手法ですが、同時に「すべての実行を記録する」という副作用も持ちます。

実行記録はすべて C:\Windows\Prefetch に保存されます。アプリケーションを実行すると、Windowsは .pf ファイルを作成します。このファイルは実行ファイルの名前が付けられ、アプリが起動された場所から生成されたハッシュが含まれています。そのため、同じプログラムでも起動元の場所が異なれば、複数の .pf ファイルが存在することがあります。

そして、これらのファイルには興味深い情報がたくさん詰まっています。具体的には、実行ファイル名、フルパス、実行回数、最終起動時刻、そして(新しいWindowsでは)直近8件分のタイムスタンプなどです。

現代のシステムでこのログが価値を持つのは、約1,024件のPrefetchエントリを上書きされるまで保持する点です。多くの用途において十分な活動範囲といえます。さらに、アプリをアンインストールしても、これらのエントリは自動的に削除されません。過去の活動の確かな足跡として残り続けます。

ただし注意点もあります。SSDを搭載した最近のシステムでは、Prefetchによる性能向上が限定的なため、この機能が無効化されている場合があります。フォルダが空だった場合は、Prefetchが無効か、使われていないことを意味します。幸い、他の選択肢もあります。

関連記事:このWindowsコマンドでPCクラッシュの原因が正確にわかった

BSOD(ブルースクリーン)の原因を当てずっぽうで探るのはもうやめましょう。この方法なら真犯人を素早く特定できます。

WinPrefetchViewなら、生のシステムデータも読みやすくなる

Prefetchファイルはバイナリ形式で、テキストエディタで開いても人間には読めません。ここで役立つのが、NirSoft製のシンプルなツール「WinPrefetchView」です。公式にはWindows XP〜Windows 10までのサポートですが、Windows 11でも動作します。このツールが行うのは、静的なシステムデータの読み取りだけなので、安心して使えます。

ダウンロードして展開すると、自動的にPCをスキャンし、.pf ファイルの内容をインターフェースに一覧表示します。実行ファイル名や実行回数のほか、実行日時、初回記録日時、そしてプログラムがディスク上のどこにあるかも確認できます。

おすすめは、最近のアクティビティ順に並べ替えてタイムラインを作り、データの意味を読み解く方法です。また、「Options」タブの「Hide Programs Under Windows Folder」オプションを使えば、システムレベルのプロセスを表示から除外でき、必要な情報に集中できます。

データを吟味する際は、以下のポイントを押さえておくと理解が深まります。

• 見慣れない実行ファイル名は、詳しく調べる価値がある
• 実行回数が多い場合は、バックグラウンドでの常駐活動の可能性
• 一時フォルダを指すファイルパスには要注意
• 自分の利用パターンと合わないタイムスタンプは、タスクスケジューラなどによる自動化の存在を示唆する

データを解釈する際は、「いつ何が実行されたか」はわかっても「そのプロセスが何をしたか」まではわからない点に留意しましょう。見えた情報を必要以上に深読みしないことが大切です。

WinPrefetchView

WinPrefetchViewは、WindowsのPrefetchファイル(.pf)の内容を読み取って表示する、NirSoft製の小型ポータブルユーティリティです。

Prefetchに何も表示されないときの対処法

Prefetchにデータが保存されていない場合でも、選択肢はあります。まず1つ目はAmCacheです。C:\Windows\AppCompat\Programs\Amcache.hve にあるこのファイルには、実行されたアプリのメタデータ(パスや識別子など)が記録されています。Prefetchより詳細な面もある一方で、必ずしも実行を確定的に証明できるわけではない点には注意が必要です。

2つ目はイベントビューアーです。イベントID 4688に関連付けられたプロセスには、何が、いつ実行されたかの詳細が記録されていることがあります。ただし、これはWindowsのデフォルト状態では記録されておらず、プロセス監査を手動で有効化する必要があるため、上級者向けの選択肢といえます。

まとめると、Prefetchにデータがあればそれが最も手軽な第一選択肢となり、空の場合はAmCacheがその穴を埋めてくれます。これらを組み合わせれば、Windowsが普段見せてくれない「裏側の活動記録」を安全に把握できるでしょう。

著者について

筆者のAfamは2018年にMake Tech Easierでテック記事の執筆を始め、以来、Windows、Linux、オープンソースツールを扱う高品質なガイド、レビュー、ヒント、解説記事で定評を築いてきました。Technical Ustad、Windows Report、Guiding Tech、Alphr、Next of Windowsなどの主要サイトにも寄稿しています。コンピュータサイエンスの学位を持ち、データプライバシーとセキュリティの強い提唱者として、Fuzo Tech YouTubeチャンネルで多数のヒントやチュートリアルを公開しています。仕事以外の時間は、家族との時間、サイクリング、ガーデニングを楽しんでいます。