LastActivityView для Windows
LastActivityView — небольшая бесплатная утилита, которая предназначена для сбора информации об активности пользователя ПК и отображения журнала событий.
Программа позволяет узнать какие исполнительные файлы запускались, время данного события, сведения о времени включения и выключения компьютера, используемые сетевые подключения и устанавливаемые приложения, открываемые папки и файлы в Проводнике и многое другое.
Полученную информацию можно легко экспортировать в CSV/XML/HTML файл или скопировать ее в буфер обмена. Программа не требует инсталляции.
AIDA64 Extreme Edition — незаменимое приложение для диагностики ПК с возможностью проведения.
MSI Afterburner — настоящая находка для истинного оверклокера, с помощью которой можно.
SpeedFan — бесплатный и удобный в использовании инструмент для контроля за температурой и.
Speccy — небольшая бесплатная программа, позволяющая узнать массу полезной информации об.
BlueScreenView — небольшая бесплатная утилита, которая сканирует все файлы аварийных дампов.
Приложение отслеживает состояние компонентов ПК и отображает информацию поверх экрана.
Отзывы о программе LastActivityView
АбраКадабра про LastActivityView 1.32 [01-07-2020]
Отличная находка для шпиона, установите на ноут своей жене, если она у вас есть и наслаждайтесь шоу.OJO
12 | 14 | Ответить
За что отвечает программа lastactivityview
You can easily export this information into csv/tab-delimited/xml/html file or copy it to the clipboard and then paste into Excel or other software.
System Requirements
Known Limitations
Versions History
- Version 1.37:
- Fixed bug: LastActivityView crashed when trying to read empty or invalid Prefetch file.
- Added ‘Show Milliseconds In Time’ option.
- Added ‘Data Source’ column, which displays the Registry key or filename where the activity information was found.
- Added ‘Add Header Line To CSV/Tab-Delimited File’ option (Turned on by default).
- Fix bug: On Windows 10/8 — In some folder names of ‘View Folder in Explorer’ items, LastActivityView omitted the first 2 characters.
- Added ‘Task Run’ action, which is displayed when a task was executed by the ‘Task Scheduler’ of Windows. (Works on Windows Vista or later)
- Added ‘Quick Filter’ feature (View -> Use Quick Filter or Ctrl+Q). When it’s turned on, you can type a string in the text-box added under the toolbar and LastActivityView will instantly filter the actions list, showing only lines that contain the string you typed.
- You can now choose whether to read the archive log files (Options -> Read Archive Log Files)
- Added ‘Sleep’ action.
- LastActivityView now automatically reads archive log files (Archive-*.evtx) .
- Added ‘Wireless Network Connected’ and ‘Wireless Network Disconnected’ actions (For Windows Vista and later). This information is collected from Microsoft-Windows-WLAN-AutoConfig/Operational event log.
- For ‘Run .EXE file’ actions, the version information of the .exe file is now displayed in the ‘More Information’ column.
- Added option to show only the activity in the last xx seconds/minutes/hours/days (In ‘Advanced Options’ window).
- You can now choose the desired encoding (ANSI, UTF-8, UTF-16) to save the csv/xml/text/html files. (Under the Options menu)
- LastActivityView now uses the 8 date/time values stored in the Prefetch files of Windows 8 and Windows 10 (‘Run .EXE file’ action).
- Fixed LastActivityView to detect the ‘Run .EXE file’ action on Windows 10.
- Explorer context menu inside LastActivityView: When you right-click on a single item with a file or folder while holding down the shift key, LastActivityView now displays the context menu of Windows Explorer, instead of the LastActivityView context menu.
- Fixed bug: LastActivityView failed to remember the last size/position of the main window if it was not located in the primary monitor.
- Added ‘Copy Files List’ option.
- Added ‘Open Folder In Explorer’ option.
- Fixed to find the correct item when typing the string you want to search into the main List View.
- Fixed to show properly the folder path of ‘View Folder In Explorer’ action on Windows 8.1 .
- Added ‘File Extension’ column.
- Added secondary sorting support: You can now get a secondary sorting, by holding down the shift key while clicking the column header. Be aware that you only have to hold down the shift key when clicking the second/third/fourth column. To sort the first column you should not hold down the Shift key.
- Fixed to display date/time properly according to daylight saving time settings.
- Added secondary sorting: When clicking the ‘Description’ column header, the list is sorted by the Description, and then by the ‘Action time’ column.
- User information is now displayed for ‘User Logoff’ event.
- Fixed the flickering occurred while scrolling the actions/events list.
- Added ‘Mark Odd/Even Rows’ option, under the View menu. When it’s turned on, the odd and even rows are displayed in different color, to make it easier to read a single line.
Start Using LastActivityView
After you run LastActivityView, it scans your computer and displays all actions and events found on your system.
You can select one or more items and then save them into xml/html/csv/tab-delimited file (Ctrl+S) or copy them to the clipboard (Ctrl+C), and then paste the data to Excel or other software.Actions/Events List
- Run .EXE file: .EXE file run directly by the user, or by another software/service running in the background.
- Select file in open/save dialog-box: The user selected the specified filename from the standard Save/Open dialog-box of Windows.
- Open file or folder: The user opened the specified filename from Windows Explorer or from another software.
- View Folder in Explorer: The user viewed the specified folder in Windows Explorer.
- Software Installation: The specified software has been installed or updated.
- System Started: The computer has been started.
- System Shutdown: The system has been shut down, directly by the user, or by a software that initiated a reboot.
- Sleep: The computer has been placed into sleep mode.
- Resumed from sleep: The computer has been resumed from sleep mode.
- Network Connected: Network connected, after previously disconnected.
- Network Disconnected: Network has been disconnected
- Software Crash: The specified software has been crashed.
- Software stopped responding (hang): The specified software stopped responding.
- Blue Screen: Blue screen event has been occurred on the system.
- User Logon: The user logged on to the system.
- User Logoff: The user logged off from the system. This even might caused by a software that initiated a reboot.
- Restore Point Created: Restore point has been created by Windows operating system.
- Windows Installer Started
- Windows Installer Ended
- Wireless Network Connected: Windows connected to a wireless network, the connection information is displayed in the ‘More Information’ column.
- Wireless Network Disconnected: Windows disconnected from a wireless network, the connection information is displayed in the ‘More Information’ column.
How to delete the information displayed by LastActivityView.
Unfortunately, there is no simple answer to this question because the information is collected from multiple sources, and currently LastActivityView doesn’t provide an option to automatically delete this information.
Also, some of the data collected by LastActivityView is essential to normal functioning of Windows operating system and deleting it may cause some problems.In the following section, you can find the list of all sources that LastActivityView uses to collect the activity information and how to optionally delete them.
Be aware that deleting any data from your computer is on your own risk, and I cannot give any kind of support for people who want to recover data they deleted from their computer according to this article.-
Events log of Windows operating system: The following events are taken from the Events log of Windows: User Logon, User Logoff, Windows Installer Started, Windows Installer Ended, System Started, System Shutdown, Resumed from sleep, Restore Point Created, Network Connected, Network Disconnected, Software Crash, Software stopped responding (hang)
Windows operating system doesn’t allow you to delete individual items from the events log, but you can easily clear the entire events log. In order to to clear the entire events log, simply go to Control Panel -> Administrative Tools -> Event Viewer , and then choose to clear (Action -> Clear All Events) all major types of events logs (Application, Security, System. )LastActivityView uses the above Registry keys for the ‘Select file in open/save dialog-box’ event.
If you delete the entries under the above Registry keys (with RegEdit), Windows will not rememeber your last saved file/folder.
LastActivityView uses the above Registry keys to add the ‘View Folder in Explorer’ event. If you delete the subkeys under the above Registry keys (With RegEdit), Windows will "forget" the settings of all folders.
Warning .
If you delete any Entry from these Registry keys, you’ll not be able to uninstall the software in the future !Forensic resistance 1 или Last-икActivityView. Данные об активности пользователя в Windows 10 и как их удалить
при этом, зачастую, на форумах вопрос остается без ответа. Масла в огонь подливает то, что ванильный CCleaner в случае с LastActivityView не помогает.
Те, кому в основном интересна практическая сторона вопроса, насчет кнопки «Удалить все», могут сразу перейти к концу статьи — там предлагаю варианты решения.
А в статье — хочу поделиться результатами этих изысканий с теми, кого это заинтересует. Речь пойдет о тех данных, которые хранятся ОС Windows 10 локально и к которым можно просто и быстро получить доступ с использованием «бесплатных и общедоступных средств форензики», в том числе и утилит NirSoft. Хотя речь пойдет не о них (почему — смотреть ниже).
Сразу хочу оговориться — я не являюсь специалистом в области компьютерной безопасности или криминалистического анализа, не имею криминального опыта или побуждений, мамой клянусь, век воли не видать.
Целевая операционная система
В данной статье рассматривается ОС Windows 10. Другие выпуски Windows, естественно, так же грешны сбором и хранением данных, но у них ключи реестра, папки, службы и т.п. отличаются.
Содержание
Причем тут форензика
В статье вопрос касается использования ее методов и средств для доступа к приватным данным пользователя. И, в связи с их распространением и доступностью, вполне вероятно — всуе, доморощенными форензиками-кулцхакерами, троянских дел мастерами и прочими любителями вычислять по IP или легкой наживы, да и просто недружелюбными любопытными, так как для скачивания, запуска и чтениях\сохранения данных, выдаваемых той же LastActivityView, Ниром Софером быть совсем необязательно.
Почему речь не про NirSoft
Во «вступлении» я не случайно дал ссылку на LastActivityView на Софт Портале. Там и впрямь только краткое описание функционала данной утилиты, зато на русском. А на офф. страничке своих утилит Нир Софер пишет многабукфф да еще и по-англицки шпрехает. Но, зато, почти для каждой его утилиты там есть описание, откуда она берет данные. Для LastActivityView в самом низу, под заголовком «How to delete the information displayed by LastActivityView».
Надо признать, что я и сам такой же Зоркий Глаз — когда-то, как и он, только через неделю заметил, что «у сарая одной стены нет». Но, правда, сия неделя была несколько раньше, чем LastActivityView стали пугать пользователей или, что вероятнее, когда они добрались до Софт Портала и сами научились ее пугаться.
Хотя утилиты NirSoft, наряду с SysInternals, ИМХО образец профессионализма для программиста и крайне удобны для администрирования. Да и для проведения расследований их и впрямь зачастую рекомендуют. ПруфПример: Хакер №229. Форензика и он далеко не единственный.
Хотя, думаю, подобное направление их использования само собой приходило в голову тем, кто так или иначе имел с ними дело.
Какие данные хранятся Windows
Хранится все, что связанно с доступом к файлам и папкам и их местоположением, использованием программ (в т.ч. и protable), подключением устройств хранения информации (в том числе и шифрованных файловых контейнеров).
Да, это не во всех случаях, что-то сохраняется только при определенных событиях, а что-то может быть отключено, но лучше, все же, исходить из того, что все и всегда. Что подключали, какие папки-файлы открывали, какие программы использовали.
И еще из того, что с журналами Windows — непредсказуемо, что туда будет записано. В связи хотя бы с тем, что это сильно зависит и от конкретных настроек конкретной ОС и каждой ее подсистемы, и журналы эти доступны для записи в них сообщений сторонними программами.А причем тут «доступ» и «местоположение»? Сильно утрированный пример: номер банковской карты и ее pin-код так и останутся в файле «D:\МояСуперСекретнаяПапка\CardPin.docx», никуда в Windows не запишутся, а вот факт доступа и «говорящие» имена папки и файла, то, что был использован, например, MS Office 2007 portable, а так же дата-время как минимум последнего (иногда и каждого) доступа\запуска — зафиксируется Windows, причем размазано тонким слоем по всей системе.
Про некоторые другие данные — можете почитать ниже по тексту, под заголовком «Прочие источники утечек информации известные мне, но не попадающие под тематику статьи»
Стало быть, коль подключали, запускали, открывали что-то такое, что не хотелось бы, чтоб стало достоянием широкой общественности — не худо бы потом и следы замести.
Совершенно справедливый комментарий от Hanabishi — «Зато тема реального логгирования не затронута вообще никак… не упоминается ничего относящегося к телеметрии и Win10 в частности» — прошу прощения, толком не описал, что речь в статье идет о приватных данных, хранящихся локально, на ПК пользователей. Вопросы слежки, как и вопросы анонимности в сети, все-таки другая, отдельная тема.
Зачем Windows собирает данные и чем чревато их удаление
Большинство данных Windows собирает для удобства пользователя — например, для ускорения запуска приложений, для отображения папок в проводнике с теми настройками, которые задал пользователь, отображения списка ранее открытых файлов и т.д. и т.п. Затереть только данные, не лишившись при этом удобств — не получится.
Так же, часть данных собирается для оценки производительности и состояния компьютера и ОС (в том числе о сбоях и ошибках) IT-специалистами и специализированным ПО для решения возникающих у пользователя проблем. Без этих данных — решить проблемы, если они возникнут, будет сложно.
И все это еще один повод задуматься над вопросом, когда действительно необходимо стирать данные, а когда не стоит и может быть не надо стирать их огулом при каждом включении-выключении компа.Совершенно справедливый комментарий от Hanabishi — «зачем чистить логи служб, если можно просто отключить эти самые службы?» Не упомянул я об этом. Можно. Как штатными средствами, так и танцами с бубном. Но это опять же означает — раз и навсегда лишиться удобняшек, которые наше все.
Что мне будет от Винды за масштабное выпиливание приватных данных, в том числе, с помощью предложенного тут решения?
Эпик фейлов случиться не должно, особенно если внимательно познакомиться с описанием каждого правила «очистки» и, если что, его отключить. Но и новой шапки, с новой буркой, тоже ждать не приходится.
- Если предполагаются какие-то «ремонтно-восстановительные» работы, то сотрется важная для этого информация. Но это касается, в основном, стирания журналов Windows
- Если отображение каких-то папок настраивали под себя, придется настраивать по новой
- Если задавали каким-либо программам режим совместимости или запуск от имени администратора, задавать придется заново
- Ввиду затирания данных, необходимых для ускорения доступа к данным, их отображения и запуска программ, следующий, после затирания, доступ\отображение\запуск, немного замедлится
- Ввиду затирания данных об открытых ранее файлах, искать их придется заново, воспользоваться пунктом меню «ранее открытые файлы» в программах не получится
- Если выбрать удаление кеша обновлений Windows, деинсталировать потом обновления штатным образом не удастся
Где эти данные хранятся?
После заявленных во вступлении «изысканий» и сверки свежеизысканного с окружающей действительностью у меня сложилось впечатление, что
кроме IBM-286 уже успели еще что-то изобрестиосновные «заповедные места» не поменялись еще со времен XP, разве что местоположение и формат некоторых изменились. И кое-что добавилось, но, вроде бы, немного. Посему поэтому уверен, что Америк не открою, тем более специалистам, но может быть кого-то заинтересует эта подборка, в связи с подъемом интереса к вопросам анонимности и безопасности.Сразу хочу предупредить — это далеко не все, только самое основное и информативное (в смысле описания не все, стирается в предложенном решении гораздо больше) и не развернуто и «галопом по Eвропам». Для тех, кому данная тема действительно интересна, в конце этой главы — известные мне интересные материалы для самостоятельного изучения + ряд конкретных «заповедных мест» приведены в решениях для их зачистики.
Основные, известные мне, источники утечек информации об активности пользователя
- ShellBags — Bags, BagMRU. Там в том числе хранится и информация о доступе к папкам, включая дату-время, для сохранения и восстановления их с настройками пользователя (размер окна проводника, выбор отображения «список\эскизы» и т.п.).
- OpenSavePidlMRU. История диалогов «открыть, сохранить».
- MUICache. История запущенных ранее программ для списка кнопки «Пуск».
- Uninstall. Хранится информация для деинсталляции инсталлированных программ. Спасибо КЭП — не за что, всегда рад помочь. Удалять ее, понятное дело, нельзя (спасибо еще раз). Содержит и дату-время установки программы.
- MountedDevices. История смонтированных (в том числе и криптованных) дисков.
Данная служба ведет логи активности, правда, хранятся эти логи до перезагрузки компьютера (что подтвердилось проверкой), но все же не комильфо.
Особо умилили результаты такого эксперимента: запускаем любимый многими TrueCrypt (protable), монтируем файл-контейнер, запускаем из него LastActivityView.
Видим в реестре запись:
То есть, теоретически, после запуска таких портабельных утилит, надо бы или перезагружаться или затирать.
Пытаться отключить службу BAM — не стоит, словите синий экран.
История «монтирования» дисков MountPoints2 (тоже содержит записи типа «TrueCryptVolumeK»)
Параметр AppCompatCache ключа реестра AppCompatCache, тоже крайне интересен (хранит данные в бинарном виде).
Ключ реестра DiagnosedApplications. Почему-то нигде на форензик-форумах мне потом не встретилось упоминание (возможно, просто плохо искал) ключа реестра:
Служебная информация Windows для отладки утечек памяти в программах.
- Папка Prefetch каталога Windows. Ну, тут лучше Вики вряд ли скажешь. Там же есть еще и базы данных другого оптимизатора — SuperFetch (файлы, типа AgAppLaunch.db). Формат их, как я понял, народу пока не ясен, мне тоже не особо, но при просмотре в hex-редакторе пути к приложениям просматриваются.
- Файл
Журналы Windows: ну, тут без комментариев… даже совершенно справедливых.
Есть еще несколько мест в реестре и на диске, но они гораздо менее информативны и не очень интересны (см. в «решениях», ниже). И есть еще море других мест, навроде файлов «*.log» разных служб и даже не всегда Microsoft. Правда, обнадеживает то, что CCleaner на стероидах (см. ниже) затирается почти все.
Прочие источники утечек информации известные мне, но не попадающие под тематику статьи по тем или иным причинам. И тут тоже надо отметить, что почти все затирается CCleaner-ом или имеются другие свободно распространяемые утилиты.
1. Все, что связанно с сетью и Интернетом (это не входит в данную статью о «локально» хранимых историях). Но с этим справляются CCleaner и Privazer. Тут же надо отмеить, что у CCleaner-а на стероидах, из решений в конце статьи, способности к этому повышаются в разы.
2. Все, что связанно с историей подключением USB-девайсов. Для ее просмотра и удаления можно использовать, например, Usboblivion.
3. Все, что связанно с файловой системой. «Безвозвратное» удаление файлов и очистка свободного места (то же «безвозвратное удаление», но уже ранее удаленных файлов, оставшихся в дебрях файловой системы). В общем вопросы, связанны с тем, что удаленные файлы можно восстановить. Заодно надо упомянуть и про кэши эскизов изображений Windows, которые имеют свойство хранить эскизы даже уже удаленных изображений. CCleaner и Privazer это тоже умеют все зачищать.
4. Все, что связанно с точками восстановления («теневыми копиями»), в которых сохраняется файлы, в том числе и системный реестр с незатертыми данными. Подключиться, просмотреть и восстановить из них файлы\папки (не делая откаты системы) можно и с помощью утилит NirSoft (так же с их помощь можно и прочитать информацию из файлов реестра оттуда), но, удобнее, на мой взгляд — ShadowExplorer. Удалить точки восстановления можно с помощью CCleaner. А перед созданием точек — можно запускать «зачистку», чтоб выпилить ненужную информацию до ее сохранения.
5. Вот эта ветка реестра.
Сюда пишут свои данные программы, в том числе portable. И они тут и остаются. И если хочется скрыть использование какой-то программы, то неплохо бы проверить эту ветку и, если что, данные удалить.
6. Все, что связанно с установкой нелицензионного ПО и что извлекается на свет Божий полицейской программой Defacto. Есть и «свободный аналог» Lpro (хотя, есть у меня не очень обоснованное предположение, что движок Defacto на ее основе или на ее идее был сделан). Но она, в отличии от Defacto, определяет только, что ПО платное, а не «нарушение авторских и смежных прав».
Выход, ИМХО — не использовать подобное. Кроме всем известного Софт Портала по этой теме могу еще предложить (если что, это не реклама, отношения к данным сайтам я не имею):
— GiveAwayOfTheDay. Каждый день раздают одну лицензионную программу (можно подписаться на рассылку).
— Бесплатные лицензии на сайте COMSS. Бесплатное (по разным акциям) лицензионное ПО и подписки. Как пример — там есть сейчас акция бесплатного VPN на год. И удобный редактор реестра из Reg Organizer, который я использовал для изысканий. И даже Acronis True Image и криптованное облачное хранилище на 2Тб и еще много чего. «Сколько?» — «Халява, сэр» (с). (можно подписаться на рассылку; не бородатых анекдотов, в смысле, а этого сайта).Материалы по данной тематике, кроме «источников» в конце статьи
- Научная статья: Некоторые особенности судебно-экспертного исследования реестра Windows (очень рекомендую, в т.ч. и пользователям)
- Литература:
- «Внутреннее устройство Windows», Руссинович Марк, 7-е издание
- «Криминалистический анализ файловых систем», Кэрриэ Брайан
- «Криминалистическое исследование Windows», Карви Харлэн
- «Форензика — компьютерная криминалистика», Федотов Н.Н.
- На Habr, о профессиональных средствах форензики:
- Для программистов:
- Парсинг ряда форматов forensic-данных на C# можно попробовать посмотреть тут: EricZimmerman github
- Почитать о прасинге ShellBag можно тут
Так как, в конце-концов, их затереть-то?
Предлагаю на рассмотрение и критику следующий вариант: Прокачать CCleaner (что, думаю, и удобнее пользователям и правовернее, ибо исключает изобретение очередного велосипеда) и
использовать bat-файл для затирания журналов windows.Плюс, ниже — собственное решение, в виде bat-файла, но его, все-таки, использовать даже по-моему, не целесообразно (тем более он затирает только самое основное и в основном для windows 10). Разве что -предлагаю почитать комментарии к коду.
Прокачать CCleaner + добавить ему свои правила + bat-файл для стирания журналов Windows
Для начала, надо скачивать и запустить CCEnhancer, выполнить «обновление» (по инструкции на страничке). Только непременно выбрать и нажать на данный пункт меню (предварительно закрыв CCleaner, если он запустился):
Иначе в файле winapp2.ini окажется 100500 правил, крайне доставляющих своей актуальностью для широких масс, таких, как правила очистки для эмулятора «Заики Спектрума» (может тут кто даже вспомнит такой комп), но при этом сильно тормозящих CCleaner.
Затем надо перейти в ту папку, где установлен CCleaner. Найти там файл winapp2.ini, поздравить его с облегчением и открыть (например, в nodepad++).
1. Нужно создать на компьютере текстовый файл, например с помощью nodepad++, в кодировке OEM 866 (DOS) (иначе, вместо русских букв, могут быть кракозябры). Скопировать в него текст и сохранить. Переименовать файл, заменив расширение .txt на .bat
2. Запускать его необходимо от имени администратора (иначе выдаст ошибку «Необходимо запустить этот скрипт от имени администратора»).
На всякий случай, перед первым запуском, надо создать точку восстановления
Можно дополнительно почитать развернутое и понятное описание всех основных правил CCleaner-а и последствий их применения, тут (рус.)
Запустить bat-файл. Дождаться, пока закончит работу.
Открыть ССleaner, перейти в нем в «Очистку».
На вкладке «Windows»
На вкладке «Приложения»
Если используете FireFox и Thunderbird, предлагаю использовать следующие правила:
При этом необходимо учесть, что для FireFox — сотрутся сохраненные пароли к сайтам (придется вводить заново, при входе на сайт). Но можно снять галочку с правила «сохраненные пароли».
2 вариант — Использовать bat-файл
Это альфа-версия и, теоретически, может что-то таки сломать, так что используем на свой страх и риск. Первый раз, перед запуском, сделав точку восстановления системы.
1. Необходимо создать на компьютере текстовый файл, например с помощью nodepad++, в кодировке OEM 866 (DOS) (иначе, вместо русских букв, могут быть кракозябры). Скопировать в него текст и сохранить, переименовав файл, заменив расширение .txt на .bat
2. Внимательно ознакомится с комментариями к его коду (т.к. там описаны и отрицательные моменты, связанные с затиранием)
3. Запустить его от имени администратора (иначе выдаст ошибку «Необходимо запустить этот скрипт от имени администратора»).
4. Если каких-то ключей реестра или папок нет, скрипт должен это действие пропустить.
(это не ошибки, это не найдено и пропущено)
Прощу прощения, подсветки batch-файлов не нашел.
После использования первого или второго варианта можно запустить утилиты NirSoft, для того, чтоб посмотреть, достигли ли мы желаемого эффекта.
Профит… Теперь, главное, покормить собак и ничего не трогать. А то она опять начнет оперу писать…
Утилита LastActivityView — узнаем, когда в Windows запускалось то или иное приложение
Если у вас возникла необходимость узнать последнее время запуска той или иной программы на компьютере, вы всегда можете воспользоваться встроенным журналом событий. К сожалению, этот штатный инструмент не особо удобен в использовании, все события в нём имеют свои идентификаторы и таких событий очень много, что затрудняет поиск записи конкретного приложения. Для таких случаев разработчики компании NirSoft создали утилиту LastActivityView.
Делающую получение сведений о запусках программного обеспечения относительно простым делом.
Утилита портативна, сразу после запуска она считывает данные журнала и выводит список действий — запуск исполняемых файлов, а также моменты начала и завершения работы Windows, входы и выходы из системы пользователя.
Указываются точная дата и время запуска файла, его имя и путь, расширение и источник — как правило, временный системный файл формата PF , нечто вроде кэша программ. LastActivityView учитывает записи системных компонентов, поэтому стоит ожидать, что список действий будет так же длинен.
Фильтров по типу файлов в утилите не предусмотрено, и это минус, зато есть поиск, с помощью которого можно найти интересующее вас приложение. Утилита поддерживает поиск событий UWP -приложений, но запрос в поисковой строке нужно делать на английском языке, например, если вы хотите узнать, когда в последний раз запускалось приложение «Календарь», нужно использовать запрос «calendar».
Также имеется возможность отфильтровать записи по времени.
Появится окошко, в котором можно указать время показа активности за последний день, час, минуту и даже секунду.