时间可得性
| 痕迹 | 时间信息 | 局限 |
|---|---|---|
| Prefetch | 多个最近运行时间（精度到秒） | 可能被禁用或清理 |
| UserAssist | 最近执行时间与次数 | 只覆盖资源管理器相关记录 |
| ShimCache | 本身不含时间 | 仅能证明存在，时间需外部来源 |
| BAM/DAM | 最近执行时间 | 覆盖范围有限 |
批量核对存在性
批量核对存在性
Test-Path C:\Windows\Prefetch\*explorer*.pf
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist" /s | Select-String -First 5 'Count|Focused'拿到来源清单后再决定取证优先级：有时间的痕迹先做时间线。