Windowsのアプリ実行履歴はどこまで分かる？PCフォレンジックで確認できる証拠

2026年9月9日 2026年9月23日

デジタル・フォレンジック調査ラボ

Windowsでは、イベントログやPrefetch、SRUMなどから、特定のアプリ・プログラムが実行された手掛かりを確認できる場合があります。 アプリ本体を削除・アンインストールした後でも、過去の記録が残っていることがあります。

ただし、すべてのアプリの起動が同じ場所に記録されるわけではありません。Amcacheのように、実行していないファイルも記録され得る情報もあります。

また、「アプリが実行された」「社員本人が手動で起動した」「そのアプリで会社のファイルを送信した」は、それぞれ別の事実です。 調査では、記録の生成条件を確かめ、複数の証拠を時系列で照合します。

すでに情報持ち出しや不審な遠隔操作を疑っている場合は、確認のために対象ソフトを起動し直したり、アンインストールしたりせず、まず対象PC・調べたい期間・既存ログの保存状況を整理してください。

本記事では、企業が管理するWindows PCを対象に、実行履歴の確認方法と、そこから判断できる範囲を解説します。

アプリの実行履歴だけでなく、Windows PCに残るファイル操作、USB利用、削除、Web閲覧、ログオンなどの証拠や、PCフォレンジック全体で確認できる範囲については、PCフォレンジックで何が分かる？Windows PCに残る証拠と、確認できること・できないことで整理しています。

アプリ実行履歴だけでなく、ファイル操作、ログオン、USB接続、ブラウザなどWindows PCに残る証拠全体を確認したい場合は、Windows・PCフォレンジックで、主な調査項目と確認方法をまとめています。

Windowsのアプリ実行履歴は、まずどこを確認する？

会社がすでに取得しているログから確認し、不足する場合にPC内の痕跡へ進みます。

調査対象PCを操作する前に、IT担当者へ「対象期間のプロセス実行ログがあるか」を確認すると、保全すべき資料を絞れます。

確認したいこと	主な確認先	注意点
特定プログラムが起動したか	Securityログの4688、Sysmonのイベント1、EDR、Prefetch	事前設定や記録の残存状況による
いつ実行したか	プロセス生成イベント、Prefetch内部の実行時刻	記録ごとに時刻の意味が異なる
何回実行したか	Prefetch、UserAssist、保存されたプロセス生成イベント	手動操作の回数や生涯の総回数とは限らない
どのアカウントに関連するか	イベントログ、EDR、SRUM、UserAssist	アカウントと実際の操作者は区別する
通信を伴う利用があったか	SRUM、EDR、通信ログ	通信量だけでは送信ファイルを特定できない
削除したソフトの痕跡があるか	残存するPrefetch、Amcache、イベントログ等	記録が残る保証はない
アプリ内で何をしたか	アプリ独自ログ、対象ファイル、送信先・サービス側ログ	起動履歴だけでは不足する

Microsoftはイベント4688をプロセス生成の記録として説明しています。Prefetchの実行関連情報、SRUMのアプリ・通信関連情報については、解析ツール開発元の技術資料でも確認できます。Microsoft：イベント4688、Magnet Forensics：Prefetch、Magnet Forensics：SRUM

ここでいう「プロセス」は、実行中のプログラムの単位です。一つのアプリが複数のプロセスを起動することもあるため、プロセス生成の件数を、そのまま社員がアプリを開いた回数にはできません。

タスクマネージャーや「最近使った項目」だけで足りる？

日常的な確認の入口にはなりますが、過去の実行を網羅する証拠にはなりません。

タスクマネージャーで現在動いているアプリを確認できても、昨日の起動・終了をすべて確認できるとは限りません。「アプリの履歴」に表示されるCPU時間等も、そのまま人が画面を操作していた時間を示すものではありません。

また、Windows 10の「タイムライン」を使う説明を、Windows 11へそのまま当てはめることはできません。MicrosoftはWindows 11でタイムラインのユーザー体験が廃止されたと説明しています。Microsoft：Windowsクライアントの非推奨機能

見たい履歴が画面にないことと、PC内に調査可能な痕跡がないことは別です。

アプリの「存在」「インストール」「実行」「利用内容」を分ける

インストール済みのアプリ一覧だけでは、実際に使ったかは分かりません。

会社が配布したソフトが一度も使われていない場合もあれば、インストール操作を伴わずに実行できるソフトもあります。

判断する事実	確認に使う情報の例	それだけでは分からないこと
PCに存在した	実行ファイル、ファイルシステムの記録、Amcache等	起動されたか
インストールされた	インストーラーの記録、管理台帳、ソフト一覧	実際に利用されたか
実行された	プロセス生成イベント、Prefetch等	誰が何の目的で起動したか
特定の日時に実行された	各記録の実行関連時刻	その時間中ずっと操作していたか
特定アカウントに関連する	SID、ログオンID、ユーザー別記録	社員本人が操作したか
特定の機能を使った	アプリ独自ログ、操作対象、処理結果	起動履歴だけでは証明できない

例えば、圧縮ソフトの起動痕跡があっても、それだけで顧客リストを圧縮したとは言えません。FTP・SFTPソフトの起動痕跡があっても、会社ファイルを外部サーバーへ送信したとは限りません。

「そのアプリが使われた可能性」を調べる段階と、「特定の処理が実行されたか」を調べる段階を分けることが重要です。

ソフトが「インストールされていた」ことと「実際に実行された」ことは別の事実です。過去のインストールやアンインストール、削除済みアプリの痕跡を確認する方法については、Windowsのソフトインストール履歴を確認｜削除済みアプリの痕跡も調査で詳しく解説しています。

ソフトが過去にインストールされていたか、アンインストール後にどのような痕跡が残るかについては、Windowsのソフトインストール履歴を確認｜削除済みアプリの痕跡も調査で詳しく解説しています。

イベントビューアーでアプリの起動履歴を確認する方法

当時の監査設定が有効で、対象期間のログが残っていれば、プロセス生成イベントを確認できます。

Windowsには、全アプリのすべての起動を、設定に関係なく保存する万能ログはありません。

Securityログのイベント4688を確認する

通常の管理目的で、対象PCを操作してよい場合の確認手順は次のとおりです。証拠保全を予定している場合は、先にIT担当者と取得方法を決め、保存済みログや保全したデータで確認します。

スタートメニューで「イベントビューアー」を検索して開く。
左側の「Windowsログ」から「セキュリティ」を選ぶ。
「現在のログをフィルター」で、対象期間とイベントID「4688」を指定する。
該当イベントの「新しいプロセス名」等で、対象の実行ファイルを確認する。
時刻、アカウント、ログオンID、作成元プロセス、記録されていればコマンドラインを確認する。

セキュリティログの閲覧には、適切な権限が必要です。

イベント4688を生成するには、プロセス作成の監査が当時有効だったことが前提です。コマンドラインを含める設定は別であり、4688があっても引数の欄が空の場合があります。Microsoft：コマンドラインプロセス監査

同じソフト名でも別の場所にあるファイルは区別してください。表示名だけで判断せず、実行ファイルのパスを確認し、必要に応じてハッシュ等で同一性を検証します。

いま監査を有効にしても、過去に記録されなかったイベント4688が遡って生成されるわけではありません。 見つからない場合は、監査未設定、保存期間外、上書き・削除、抽出条件の誤りなどを確認します。

起動から終了までの時間は分かる？

対応するイベント4688と4689が残っていれば、プロセスの開始・終了の間隔を確認できる場合があります。4689はプロセス終了に関する監査イベントです。Microsoft：詳細な監査ポリシー設定

ただし、照合には対象端末、時刻、プロセスID、実行ファイル等を使います。プロセスIDは再利用されるため、番号が同じというだけで別の日のイベントを結び付けてはいけません。

また、その間隔が分かっても、アプリを開いたまま離席していた時間や、バックグラウンド処理の時間を含む可能性があります。 社員が作業していた時間や、特定機能の利用時間とは区別します。

Application・Systemログに全アプリの起動が残るわけではない

Applicationログにはアプリが出力したイベント、SystemログにはOSやサービス等のイベントが含まれます。しかし、すべてのアプリが毎回の正常起動・終了をApplicationログへ出力するわけではありません。

例えば、サービスの起動やアプリのエラーを確認できても、それが社員による手動操作や、目的の処理の完了を示すとは限りません。

イベント番号だけでなく、ログの種類、発行元、イベント本文を確認します。

Prefetchから、実行日時や回数はどこまで分かる？

Prefetchは、プログラムの実行を調べるうえで有用な痕跡です。ただし、本人の手動操作や全実行履歴を保証するものではありません。

Prefetchは、Windowsやアプリの起動性能を改善する仕組みに関連するデータです。一般に、C:\Windows\Prefetch 内の.pfファイルが確認対象になります。

内部には、形式に応じて次のような情報があります。

実行ファイル名
実行に関連する時刻
実行回数を示すカウンター
関連するファイル・ディレクトリの情報

アプリ本体が削除された後も、Prefetchが残っていれば実行の検証に利用できる場合があります。Magnet Forensics：Prefetchファイルの解析

「最終実行日時」は、ファイルの更新日時と分けて読む

調査では、エクスプローラーに表示される.pfファイルの更新日時だけで判断せず、内部の実行関連フィールドを解析します。

libsccaの解析資料では、古い形式の単一の実行時刻と、形式26・30等の最大8枠の実行時刻が区別されています。Windows 11の形式31も記載されており、形式30の一部と同様の構造が示されています。

したがって、「Prefetchから必ず過去8回を取得できる」とは言えません。 実ファイルの形式、値が入っている枠、使用する解析ツールの対応を確認します。これはMicrosoftの保証仕様ではなく、実データの解析に基づく形式資料です。libscca：Windows Prefetch File形式

再実行に伴う更新で古い時刻が押し出されたり、ファイルの削除・再作成によって履歴が途切れたりすることがあります。内部の実行時刻、ファイル作成日時、更新日時を、すべて同じ「アプリを使った時刻」として扱わないことが重要です。

実行回数は、社員がクリックした回数ではない

カウンターは、そのPrefetchに記録された条件のもとで読む値です。自動起動やバックグラウンド処理が含まれる可能性があり、PC購入以来の総起動回数や、社員本人の手動起動回数とは限りません。

関連ファイルの一覧も、送信・圧縮・削除したファイルの一覧ではありません。アプリが読み込んだ設定ファイルやライブラリ等も含め、各項目の意味を確認します。

Prefetchがない場合は、実行していないと言える？

言えません。

生成・更新の設定や挙動、実行の状況、削除・置換、取得範囲、解析ツールの対応などを確認する必要があります。Prefetchは永続的な監査台帳ではないため、不在だけを未実行の証明には使いません。

反対に、Prefetchがあっても、本人が意図して起動したとは限りません。イベントログやユーザー別記録と照合します。

SRUMから、アプリの利用や通信量は分かる？

アプリやユーザーに関連する資源利用・通信量の手掛かりを確認できる場合があります。

SRUMはWindowsの資源利用を記録する仕組みです。主な確認対象は、C:\Windows\System32\sru\SRUDB.datというデータベースです。

対象テーブルによって、アプリの識別情報、ユーザーSID、送受信バイト数、資源利用等が含まれます。SIDは、Windowsがアカウント等を識別するために使う値です。Magnet Forensics：SRUMの解析

SRUMの時刻を、正確な起動時刻に置き換えない

SRUMには、利用の発生時刻とデータベースへの記録タイミングを区別すべき情報があります。技術資料では、時間単位やシャットダウン時の書き込みが説明されています。

そのため、SRUMのある行に「14:00」と表示されていても、そのアプリを14:00ちょうどに起動した、14:00に一度だけ送信した、とは直ちに言えません。 テーブル・フィールドの意味を確認してから、プロセス生成イベント等と照合します。Magnet Forensics：SRUDB.datの書き込みと時間情報

送信量が多ければ、情報持ち出しと判断できる？

通信量だけでは判断できません。

例えば、クラウド同期アプリに大きな送信量が記録されていても、それだけで次のことは特定できません。

送信したファイル名や内容
送信先のアカウントや相手
社内で許可された同期だったか
社員が手動で送信したか
会社の機密情報が外部へ渡ったか

追加確認では、アプリ独自ログ、サービス側の監査ログ、Proxy・Firewall・EDR・DLPの記録、PC上の対象ファイル等を照合します。

通信先が確認できるログでも、ファイル内容まで分かるとは限りません。「アプリが通信した」「特定サービスへ接続した」「特定ファイルを送信した」を段階的に確認します。

SRUMの保持範囲も、すべての端末で一定期間を保証できるものではありません。実際に残っている期間と記録の欠落を確認してください。

Amcacheに記録があれば、実行したと判断できる？

Amcacheの記録だけで、実行済みとは判断できません。

Amcacheは、実行可能ファイルやアプリケーションに関するメタデータを含むレジストリハイブです。通常、C:\Windows\AppCompat\Programs\Amcache.hveが確認対象になります。

ファイルパス、サイズ、発行元等の情報を利用できますが、互換性評価のための走査などによって、実行していないファイルも記録され得ます。

Kasperskyの原著解析も、Amcacheを真の実行ログとは区別し、記録された経緯によって解釈が異なることを説明しています。また、構造はWindowsの名称だけでなく、記録を行う関連DLLのバージョンにも影響されます。Kaspersky Securelist：Amcacheの解析

Amcacheは、「このようなファイルが存在した手掛かり」を見つけ、Prefetchやイベントログ等で実行を検証する入口として有用です。

Amcache内の更新時刻等を、一律に「初回実行日時」「最終実行日時」と読み替えてはいけません。対象キー・値と生成条件を確認します。

なお、Shimcache／AppCompatCacheも、名前やファイルパスが見つかっただけで実行済みとする扱いは避けます。記録形式・Windows環境に応じた解釈が必要です。

誰が実行したか、自動実行だったかは分かる？

アカウントや起動経路を絞れる場合はありますが、社員本人の操作と断定するには追加確認が必要です。

同じPC上の実行でも、次のような経路が考えられます。

社員がスタートメニュー等から起動した
ログオン時に自動起動した
サービスやタスクスケジューラーが起動した
アップデーターやセキュリティソフトが実行した
別のアプリが子プロセスとして起動した
遠隔操作や共用アカウントを通じて実行された

イベント4688では、作成元のアカウント、対象プロセスのアカウント、作成元プロセス等を確認できる場合があります。ログオンIDは、関連するログオンイベントとの照合に利用できます。Microsoft：イベント4688のフィールド説明

ただし、アカウント名だけでは本人確認は完了しません。端末の割当、共用の有無、ログオン状況、遠隔接続、サービスアカウント等を合わせて確認します。

UserAssistは、ユーザーに関連する利用を調べる補助になる

UserAssistはユーザーごとのNTUSER.DATに存在し、アプリに関する実行回数、最終実行時刻、フォーカス関連の情報等が確認対象になります。

ただし、起動方法やアプリの構成によって、更新される項目は異なります。例えば、コマンドライン経由の起動とエクスプローラーでの起動で、同じ項目がそろうとは限りません。Kaspersky Securelist：UserAssistの原著解析

画面が前面にあった時間を示す情報があっても、その間ずっと人が操作していたとは限りません。使用時間・勤怠の判断には、別の資料が必要です。

EDR・Sysmon・Intuneがある会社では何を確認する？

導入製品の名前だけでなく、当時取得していたイベントと保存期間を確認します。

Sysmonは、導入・稼働・設定を確認する

Sysmonが導入・稼働している環境では、イベント1のプロセス生成等を確認できます。プロセスGUID、コマンドライン、ファイルのハッシュ等は、別記録との照合に役立ちます。

ただし、全PCで当然に使えるログではありません。収集対象の設定も確認が必要です。Microsoftの資料では、イベント3のネットワーク接続記録は既定で無効とされています。Microsoft：Sysmon

Defenderの検知履歴と、プロセス履歴を区別する

ウイルス対策の検知履歴に何もないからといって、対象ソフトが実行されていないとは限りません。

Microsoft Defender for Endpointを利用している環境では、対応する権限・機能・データがあれば、DeviceProcessEvents等からプロセス生成に関する情報を確認できます。これは、Windowsのウイルス対策画面にある履歴と同じものではありません。Microsoft：DeviceProcessEvents

Intuneのアプリ一覧は、実行履歴ではない

Intuneの「検出されたアプリ」やアプリインベントリは、端末で検出されたアプリやインストール状態等を把握するための情報です。

そこにソフトが載っていても、特定日時に実行した証明にはなりません。Microsoft：Intuneの検出されたアプリ

SIEMについても、保存されているのは転送・取り込みの対象になった記録です。Entra IDのサインイン情報も照合資料にはなりますが、それだけでローカルアプリの全実行履歴が分かるわけではありません。

削除・アンインストールしたアプリでも調べられる？

本体がなくても、別の場所に残る記録から調べられる場合があります。

例えば、残存するPrefetch、Amcache、イベントログ、EDRの記録は確認候補です。必要に応じて、$MFT・$UsnJrnl等のファイルシステム情報や、LNK・Jump Listsも照合します。

ただし、各記録の役割は同じではありません。ファイルの存在・変更・削除に関する情報が見つかっても、それだけでプログラムの実行を示すとは限りません。

調査では、次の順に整理します。

どの実行ファイルを調べるか、名前・パス等を特定する。
本体やインストール情報が残っているか確認する。
別の場所に実行を裏付ける記録が残っているか確認する。
アンインストールや削除の時期と、実行関連時刻を照合する。
対象ファイルや通信等、問題となっている操作との関係を確認する。

PCを初期化していた場合は？

初期化やOS再インストールによって、以前のWindowsに属する痕跡が失われる場合があります。復旧可能性は、初期化方法、媒体、暗号化、上書き等に左右されるため、「初期化後でも必ず分かる」とは言えません。

一方で、初期化前のバックアップ、保全イメージ、EDR・SIEMへ転送済みの記録、サービス側ログが残っている可能性はあります。PC本体だけに調査対象を限定しないことが重要です。

転送ソフト・遠隔操作ソフト・PowerShellでは何を照合する？

実行痕跡は、具体的な操作を調べる出発点です。

対象	実行確認の後に調べるもの	起動だけでは言えないこと
圧縮ソフト	作成された圧縮ファイル、内容、保存場所、関連ログ	特定の会社資料を圧縮した
FTP・SFTP・ファイル転送ソフト	転送ログ、対象ファイル、接続先・受信側の記録	外部への送信が成功した
クラウド同期ソフト	同期対象、アカウント、同期ログ、サービス側監査	社外アカウントへ機密情報を渡した
遠隔操作ソフト	接続・セッション記録、相手側情報、認証記録	第三者が実際に接続・操作した
削除ツール	指定対象、処理ログ、ファイルの変化	特定ファイルを消去した、証拠隠滅した
PowerShell・コマンドプロンプト	引数、スクリプト、記録済みコマンド、処理結果	特定コマンドが成功した

遠隔操作ソフトは、正規のITサポートで使用されることもあります。サービスとして起動していたことと、外部からのセッションが成立したことは分けて確認します。

PowerShellでは、プロセスの起動記録に加え、設定されていればスクリプトブロックログ等を確認できます。PowerShell 7系の公式資料では、スクリプトブロックログを有効にした場合のイベント4104が説明されています。Windows PowerShellとはログの場所等が異なるため、使用された種類・バージョンを確認します。Microsoft：WindowsでのPowerShellログ

PowerShellについては、プロセス起動だけでなく、PSReadLineやイベントログに残るコマンド・スクリプトの痕跡を確認します。詳しくは、PowerShellの実行履歴を調査｜PSReadLine・イベントログに残る痕跡をご覧ください。

Windows Terminalの起動だけを見ても、その中で使われたシェルや実行コマンドまでは特定できません。子プロセスや個別ログとの照合が必要です。

複数の痕跡を時系列で照合するときの見方

時刻が近いことは、同じ操作の一部だったことの証明ではありません。

以下は説明用の架空例であり、当社の実案件ではありません。時刻は照合のために日本時間へ統一したものとします。

時刻・記録	確認できた内容	まだ断定できないこと
13:01・ファイル参照関連記録	顧客資料に関する利用の手掛かり	内容を読んだか、転送対象にしたか
13:03・Prefetch内部の時刻	圧縮ソフトに実行関連の記録	顧客資料を圧縮したか
13:06・イベント4688	同期アプリのプロセス生成	同期を手動開始したか、何を同期したか
13:09・USB関連記録	対象USBの認識に関する記録	ファイルをUSBへコピーしたか
14:00の時刻を持つSRUMの行	同期アプリに送信量の記録	14:00ちょうどの送信か、何を送信したか

この段階で、「顧客資料を圧縮し、クラウドとUSBへ持ち出した」と一続きの事実にしてはいけません。

次に必要なのは、作成された圧縮ファイルの中身、同期対象のパス、サービス側のアップロード記録、USB側にあるファイル等です。同期アプリが別の業務データを自動処理していた可能性も検討します。

時系列を作る際は、少なくとも次を区別します。

記録元と、時刻が表す出来事
元のタイムゾーンと表示時の変換
端末の時計ずれ
イベントの発生時刻と収集・書き込みの時刻
同じファイル名・プロセス名でも、実体が同じか
記録が残っていない期間や対象

細かい時刻が表示されていることと、その精度で操作を特定できることも別です。

当社の公表事例に見る、時系列照合の考え方

デジタルフォレンジックPROの公表事例では、USB接続履歴と、社内保存先・USB上のファイル参照、圧縮ファイルの作成・削除等を時系列で整理しています。

この事例で示しているのは、複数の記録からファイルコピーの可能性を評価する考え方です。特定の圧縮ソフトや転送ソフトの実行を、Prefetch等で確認した事例として紹介するものではありません。当社の公表事例

USB接続とファイルコピーの判断の違いは、USBメモリの接続履歴を調査する方法でも解説しています。

調査前に保存するもの・避けたい操作

調べたい期間の状態を変えないよう、通常の利用や再設定を進める前に、保存方法を決めます。

まず、次の情報を整理してください。

対象PCの管理番号・端末名・利用者
調べたいアプリ名、分かれば実行ファイル名・パス
問題となっている期間と、その理由
現在の電源・ログオン・ネットワーク接続の状態
すでに行った確認、再起動、削除、設定変更
EDR・SIEM・アプリ・サービス側ログの有無と保存期間

ログを保存する場合は、画面写真だけに頼らず、権限と手順に応じて元のイベント情報やエクスポートデータも残します。取得日時、対象端末、抽出条件、担当者を記録しておくと、後から確認しやすくなります。

調査前の初期化、OS再インストール、クリーンアップ、ログ削除、対象アプリの再インストール、別社員への再配布は、残っている痕跡を変える可能性があります。

少し操作しただけで全履歴が消えるわけではありませんが、調査のための操作自体が、新しい実行・ファイル・通信の記録を作ることがあります。

不審な遠隔操作や送信が現在も続いている場合は、IT担当者によるネットワーク隔離等の被害停止を優先し、その操作を記録します。電源を切るかは、メモリ上の情報や暗号化の状態にも関わるため、一律には判断しません。

保全方法については、証拠保全サービスをご参照ください。

AnyDesk・TeamViewerなどについては、ソフトが実行されたことと遠隔接続が成立したことを分けて確認する必要があります。接続ログやWindows側の痕跡については、PCが遠隔操作されたか確認する方法｜AnyDesk・TeamViewerの履歴と痕跡で詳しく解説しています。

自社確認で足りる場合と、専門調査を検討する目安

必要な事実が既存ログで確認でき、その意味を社内で評価できる場合は、自社確認で進められます。

例えば、正規の業務アプリが指定時間に起動したかを確認するだけで、対象期間のプロセスログが十分に残っている場合です。管理製品に使用状況がある場合も、何を計測しているのかを確認したうえで利用できます。

一方、次の場合はフォレンジック調査を検討する目安になります。

当時の監査ログがなく、複数の残存痕跡を解析する必要がある
アプリが削除・アンインストールされている
退職者PCで、初期化や再配布の判断が必要
実行だけでなく、ファイル操作・USB・通信との関係を調べたい
共用PC、自動実行、遠隔操作等があり、操作者の判断が難しい
社内処分や紛争への利用を想定し、取得経緯と判断根拠を残したい

調査対象は、会社が確認する権限を持つ端末・アカウントと、目的に必要な範囲に整理します。

デジタルフォレンジックPROでは、Prefetch、SRUM、Amcache、Windowsイベントログ等を解析・検証に活用する対象として公表しています。実際に取得・判断できる範囲は端末と記録の状態によって異なるため、相談時には「ソフトの起動だけを確認したいのか」「具体的な操作まで調べたいのか」をお伝えください。デジタルフォレンジックPRO

まとめ

Windowsのアプリ実行履歴は、イベントログ、Prefetch、SRUM、UserAssist等の記録から確認できる場合があります。アプリを削除していても、別の場所に痕跡が残っていることがあります。

ただし、存在・インストール・実行・利用内容は別の事実です。 Amcacheの記録だけで実行済みとは判断できず、Prefetchがないことだけで未実行とも言えません。

実行痕跡があっても、本人の手動操作、不正目的、特定ファイルの送信まで分かるとは限りません。時刻・アカウント・起動経路の意味を確認し、必要に応じて対象ファイルや通信先・サービス側の記録と照合します。

まずは対象PC、アプリ、期間、既存ログを整理し、初期化・削除・再インストールを進める前に保全方法を決めてください。既存ログで必要事実を確認できる場合は自社で対応し、削除済みアプリや複数記録の照合、紛争利用を想定する場合は専門調査を検討します。

参考資料

資料確認日：2026年9月9日。Microsoft公式資料と、解析ツール開発元・研究者による技術資料を区別して参照しています。各資料の対象バージョンや検証条件を、すべてのWindows環境へ一律に適用するものではありません。

4688(S): A new process has been created — Microsoft。プロセス生成イベントと各フィールド。
Command line process auditing — Microsoft。監査の前提とコマンドライン記録設定。
Advanced Audit Policy Configuration settings — Microsoft。プロセス作成・終了等の監査。
Sysmon — Microsoft Sysinternals。導入・設定とイベントの内容。
DeviceProcessEvents table — Microsoft。Defender for Endpoint由来のプロセス関連情報。
Intune discovered apps — Microsoft。アプリ検出情報の用途。
about_Logging_Windows — Microsoft。PowerShell 7.5のWindowsログ機能。
Deprecated features in the Windows client — Microsoft。Windows 11のタイムライン等の変更。
Windows Prefetch File (PF) format — Joachim Metz／libyal。実データ解析に基づくPrefetch形式資料。
Forensic Analysis of Prefetch files in Windows — Magnet Forensics。Prefetchの確認対象と実行関連情報。
SRUM: Forensic Analysis of Windows System Resource Utilization Monitor — Magnet Forensics。SRUMのデータ、通信量、書き込みタイミング。
AmCache artifact: forensic value and a tool for data extraction — Kaspersky Securelist。Amcacheの構造、記録条件、実行判断の限界。
What is UserAssist and how to use it in IR activities? — Kaspersky Securelist。UserAssistの更新条件、各項目と解釈。