Prefetch ファイル.

C:\Windows\Prefetch に置かれる Windows の .pf ファイル。プロセスの起動情報を記録し、実行ファイルがシステムで動作した強力な証拠となる。 サイバーセキュリティの フォレンジックと IR カテゴリに属します。

C:\Windows\Prefetch に置かれる Windows の .pf ファイル。プロセスの起動情報を記録し、実行ファイルがシステムで動作した強力な証拠となる。

Prefetch は Windows のパフォーマンス最適化機能で、実行ファイル起動後の最初の 10 秒間にアクセスしたファイルとディレクトリを記録します。生成される .pf ファイル(命名規則は EXECUTABLE-HASH.pf)は C:\Windows\Prefetch に保存され、元の実行パス、実行回数、直近 8 回の実行タイムスタンプ (Windows 8 以降)、参照したファイルとボリュームの一覧を保持します。フォレンジック担当者は Prefetch を用いて、プログラムの実行を立証し、削除済みバイナリの名前を復元し、タイムラインを構築し、temp や AppData から実行された不審なバイナリを発見します。Windows Server および一部の SSD 構成では既定で無効化されているため、Prefetch が「存在しないこと」自体が観察事項となります。PECmd が標準的なパーサーです。

Prefetch ファイル に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。

一般的な別名: .pf ファイル, Windows Prefetch。