ค้นพบบันทึกกิจกรรมที่ซ่อนอยู่ของ Windows – เรียนรู้วิธีการเข้าถึงอย่างปลอดภัย

เผยแพร่เมื่อวันที่ 16 เมษายน 2026 เวลา 13:00 น. EDT

ประสบการณ์ของ Afam ในการเผยแพร่เทคโนโลยีย้อนกลับไปในปี 2018 เมื่อเขาทำงานให้กับ Make Tech Easier ในช่วงหลายปีที่ผ่านมา เขาได้สร้างชื่อเสียงจากการเผยแพร่คำแนะนำ บทวิจารณ์ เคล็ดลับ และบทความอธิบายคุณภาพสูง ครอบคลุมถึง Windows, Linux และเครื่องมือโอเพ่นซอร์ส ผลงานของเขาได้รับการนำเสนอบนเว็บไซต์ชั้นนำ รวมถึง Technical Ustad, Windows Report, Guiding Tech, Alphr และ Next of Windows

เขาสำเร็จการศึกษาระดับปริญญาตรีสาขาวิทยาการคอมพิวเตอร์และเป็นผู้สนับสนุนอย่างแข็งขันในด้านความเป็นส่วนตัวและความปลอดภัยของข้อมูล พร้อมด้วยเคล็ดลับ วิดีโอ และบทช่วยสอนมากมายเกี่ยวกับหัวข้อที่เผยแพร่บนช่อง YouTube ของ Fuzo Tech

เมื่อเขาไม่ได้ทำงาน เขาชอบที่จะใช้เวลาอยู่กับครอบครัว ปั่นจักรยาน หรือดูแลสวน 

ขณะใช้คอมพิวเตอร์ คุณอาจได้ยินเสียงพัดลมดังขึ้นเล็กน้อยหรือสังเกตเห็นการใช้งาน CPU ที่เพิ่มขึ้นอย่างกะทันหันโดยที่คุณไม่ได้เริ่มงานใหม่ บนโทรศัพท์ คุณสามารถดูได้ง่ายขึ้นว่าอะไรเปิดตัวและเมื่อใด แต่ Windows ไม่ได้ให้ประวัติกิจกรรมที่ชัดเจนแก่คุณ

อย่างไรก็ตาม นี่ไม่ได้หมายความว่าข้อมูลเกี่ยวกับสิ่งที่ทำงานอยู่จะไม่อยู่ในคอมพิวเตอร์ของคุณ Windows บันทึกและจัดเก็บกิจกรรมปฏิบัติการตามส่วนต่างๆ ของอุปกรณ์จริงๆ หากคุณรู้ว่าจะต้องดูที่ใด คุณสามารถรวบรวมข้อมูลนี้เข้าด้วยกัน และข้อมูลนั้นจะมีประโยชน์มากในการจัดการหรือแก้ไขปัญหาคอมพิวเตอร์ของคุณ

Windows เก็บบันทึกการทำงาน

ข้อมูลมีอยู่ — มันแค่กระจัดกระจายไปทั่วระบบ

กิจกรรมของแอปพลิเคชันเชื่อมโยงกับการเพิ่มประสิทธิภาพการทำงาน การบันทึกความปลอดภัย และการติดตามความเข้ากันได้ นั่นเป็นเหตุผลที่ Windows บันทึกมัน

อย่างไรก็ตาม สำหรับระบบปฏิบัติการนั้น มีเพียงสามแหล่งข้อมูลหลักสำหรับข้อมูลนี้ อย่างแรกคือ Prefetch ซึ่งบันทึกการดำเนินการโดยมีจุดประสงค์เพื่อเร่งการเปิดตัวในอนาคต ถัดไปคือตัวแสดงเหตุการณ์ ซึ่งอาจมีประโยชน์สำหรับการดูกระบวนการที่อาจทำให้เกิดข้อขัดข้อง แต่ที่สำคัญกว่านั้น ตราบใดที่เปิดใช้งานการตรวจสอบ ระบบจะบันทึกเหตุการณ์การสร้างกระบวนการ สุดท้ายนี้ เรามี AmCache ซึ่งทำหน้าที่เป็นพื้นที่เก็บข้อมูลเมตาสำหรับแอปพลิเคชันที่ทำงานหรือมีอยู่

บริการทั้งสามนี้จะแยกส่วนของกิจกรรมแอพบนคอมพิวเตอร์ของคุณแยกกัน ดังนั้น คุณจะไม่ได้รับลำดับเวลาที่สมบูรณ์เสมอไป อย่างไรก็ตาม การดึงข้อมูลล่วงหน้าเป็นจุดเริ่มต้นที่เข้าถึงได้มากที่สุด เนื่องจากคุณไม่จำเป็นต้องกำหนดค่าเพิ่มเติมใดๆ เพื่อเข้าถึงข้อมูลที่รอการอ่านอยู่

การดึงข้อมูลล่วงหน้าเป็นสิ่งที่ใกล้เคียงที่สุดกับประวัติกิจกรรมของแอพ

มันบันทึกสิ่งที่ทำงานเป็นผลข้างเคียงของการเร่งความเร็ว

เมื่อเปิดแอป ระบบปฏิบัติการจะติดตามไฟล์ที่ใช้เพื่อให้สามารถโหลดล่วงหน้าได้ในการเปิดตัวครั้งถัดไป นี่เป็นวิธีที่ชาญฉลาดในการปรับความเร็วให้เหมาะสม อย่างไรก็ตาม ยังมีผลข้างเคียงจากการบันทึกทุกการดำเนินการด้วย

บันทึกการดำเนินการทั้งหมดจะถูกเก็บไว้ในเส้นทาง:C:\Windows\Prefetch . การเรียกใช้แอปพลิเคชันจะทำให้ Windows สร้างไฟล์ .pf ไฟล์นี้ตั้งชื่อตามไฟล์ปฏิบัติการและมีแฮชที่สร้างขึ้นจากตำแหน่งที่แอปเปิดตัว ซึ่งหมายความว่าโปรแกรมหนึ่งอาจมีไฟล์ .pf หลายไฟล์ หากถูกเรียกใช้จากที่ต่างกัน

อย่างไรก็ตาม ไฟล์เหล่านี้มีรายละเอียดที่น่าสนใจมากมาย อันดับแรก จะมีชื่อที่ปฏิบัติการได้ เส้นทางแบบเต็ม จำนวนการรัน เวลาเปิดใช้งานล่าสุด และ (บน Windows รุ่นใหม่) มากถึงแปดการประทับเวลาล่าสุด

สิ่งที่ทำให้บันทึกนี้มีคุณค่ามากขึ้นในระบบสมัยใหม่คือ บันทึกรายการดึงข้อมูลล่วงหน้าประมาณ 1,024 รายการก่อนที่จะถูกเขียนทับ นี่เป็นช่วงกิจกรรมที่เหมาะสมสำหรับกรณีการใช้งานส่วนใหญ่ ยังดีกว่าแม้ว่าจะถอนการติดตั้งแอปแล้ว รายการเหล่านี้จะไม่ถูกลบโดยอัตโนมัติ พวกเขายังคงเป็นรอยเท้าที่มั่นคงจากกิจกรรมที่ผ่านมา

ในระบบสมัยใหม่ที่ทำงานบน SSD คุณลักษณะการดึงข้อมูลล่วงหน้าอาจถูกปิดใช้งานเนื่องจากไม่ได้ให้ข้อได้เปรียบด้านประสิทธิภาพมากนัก ดังนั้นหากโฟลเดอร์ว่างเปล่า แสดงว่า Prefetch ถูกปิดใช้งานหรือไม่ได้ใช้งาน โชคดีที่มีตัวเลือกอื่น

ที่เกี่ยวข้อง

คำสั่ง Windows นี้บอกฉันอย่างชัดเจนถึงสาเหตุที่ทำให้พีซีของฉันพัง

หยุดคาดเดาสาเหตุของ BSOD — วิธีนี้จะช่วยเปิดเผยผู้กระทำผิดที่แท้จริงได้อย่างรวดเร็ว

WinPrefetchView ทำให้ข้อมูลระบบดิบง่ายต่อการตีความ

ไฟล์ที่ดึงออกมาล่วงหน้านั้นเป็นไบนารี่และมนุษย์ไม่สามารถอ่านได้ (คุณไม่สามารถเปิดไฟล์เหล่านั้นในโปรแกรมแก้ไขข้อความได้) นี่คือจุดที่เครื่องมือง่ายๆ เช่น WinPrefetchView จาก NirSoft มีประโยชน์ เครื่องมือนี้รองรับ Windows XP อย่างเป็นทางการผ่าน Windows 10 แต่ก็ใช้งานได้บน Windows 11 เช่นกัน เครื่องมือทั้งหมดนี้คือการอ่านข้อมูลระบบแบบคงที่

เมื่อคุณดาวน์โหลดและแตกไฟล์แล้ว มันจะสแกนคอมพิวเตอร์ของคุณโดยอัตโนมัติและเติมอินเทอร์เฟซด้วยไฟล์ .pf โดยจะแสดงชื่อที่ปฏิบัติการได้ตลอดจนจำนวนครั้งที่รัน พร้อมด้วยเวลารันและเวลาที่บันทึกครั้งแรก นอกจากนี้ยังแสดงตำแหน่งของโปรแกรมบนดิสก์ของคุณด้วย

ฉันชอบจัดเรียงตามกิจกรรมล่าสุดเพื่อสร้างไทม์ไลน์และทำความเข้าใจข้อมูลมากขึ้น นอกจากนี้ ภายใต้แท็บตัวเลือก คุณสามารถใช้ตัวเลือกซ่อนโปรแกรมภายใต้โฟลเดอร์ Windows เพื่อลบกระบวนการระดับระบบออกจากมุมมองของคุณ

คอลัมน์

มันบอกอะไรคุณ

สิ่งที่ต้องมองหา

เรียกใช้ตัวนับ

แอปทำงานบ่อยแค่ไหน

จำนวนแอปที่ไม่คุ้นเคยสูง

เวลารันล่าสุด

การดำเนินการล่าสุด

กิจกรรมในเวลาคี่

เวลาที่สร้าง

การดำเนินการที่บันทึกไว้ครั้งแรก

แอพที่เพิ่งเปิดตัว

เส้นทางไฟล์

ตำแหน่งของแอป

โฟลเดอร์ชั่วคราวหรือไดเร็กทอรีที่ผิดปกติ

เมื่อคุณกรองข้อมูล ประเด็นสำคัญเหล่านี้มีความสำคัญต่อการทำความเข้าใจ:

• ชื่อปฏิบัติการที่ไม่รู้จักนั้นควรค่าแก่การพิจารณาให้ละเอียดยิ่งขึ้น
• จำนวนการวิ่งที่สูงสามารถบ่งบอกถึงกิจกรรมเบื้องหลัง
• เส้นทางของไฟล์ที่ชี้ไปยังโฟลเดอร์ชั่วคราวสมควรได้รับความสนใจ
• การประทับเวลาที่ไม่ตรงกับรูปแบบการใช้งานของคุณสามารถเปิดเผยระบบอัตโนมัติได้

ขณะตีความข้อมูล โปรดจำไว้ว่าข้อมูลจะแสดงเฉพาะสิ่งที่ดำเนินการอยู่และไม่จำเป็นว่าข้อมูลนั้นทำหน้าที่อะไร ดังนั้น พยายามอย่าตีความสิ่งที่คุณเห็นมากเกินไป

WinPrefetchView

WinPrefetchView เป็นยูทิลิตี้ NirSoft แบบพกพาขนาดเล็กที่อ่านและแสดงเนื้อหาของไฟล์ Windows Prefetch (.pf)

เมื่อ Prefetch ไม่แสดงสิ่งใดเลย

หากคุณไม่มีข้อมูลใดๆ เก็บไว้ใน Prefetch ของคอมพิวเตอร์ คุณมีตัวเลือกอื่น อันแรกคือ AmCache ซึ่งอยู่ในเส้นทาง:C:\Windows\AppCompat\Programs\Amcache.hve . ในไฟล์นี้ คุณสามารถดูข้อมูลเมตาสำหรับแอปที่ทำงาน รวมถึงเส้นทางและตัวระบุ แม้ว่าอาจมีรายละเอียดมากกว่าการดึงข้อมูลล่วงหน้าในบางด้าน แต่ก็ไม่ได้ยืนยันการดำเนินการอย่างมั่นใจตลอดเวลา

ใน Event Viewer กระบวนการที่เชื่อมโยงกับ Event ID 4688 มักจะมีรายละเอียดว่าทำงานอะไรและเมื่อใด อย่างไรก็ตาม สิ่งนี้จะไม่ถูกบันทึกโดยค่าเริ่มต้นบน Windows และคุณจะต้องเปิดใช้งานการตรวจสอบกระบวนการด้วยตนเองก่อน ทำให้เป็นตัวเลือกที่เหมาะสมยิ่งขึ้นสำหรับผู้ใช้ขั้นสูง

เมื่อ Prefetch มีข้อมูล วิธีที่ง่ายที่สุดคือดำเนินการ AmCache สามารถเติมเต็มช่องว่างได้เมื่อ Prefetch ว่างเปล่า