Как посмотреть последние действия на компьютере Windows 10 через командную строку

Как посмотреть последние действия на компьютере Windows 10 через командную строку — вопрос, который часто возникает у пользователей, подозревающих несанкционированный доступ или просто желающих отследить активность на своем ПК. В системе есть несколько встроенных инструментов, позволяющих сделать это без установки стороннего ПО. Основные методы связаны с использованием командной строки (CMD) и встроенных утилит вроде wevtutil или query.

В этой статье разберем, как через CMD получить данные о последних действиях: входе в систему, запущенных программах, измененных файлах и сетевых подключениях. Рассмотрим пошаговые инструкции, примеры команд и нюансы, которые стоит учитывать.

Зачем отслеживать активность через командную строку

Командная строка — мощный инструмент для анализа системы, особенно если графический интерфейс недоступен или работает с ошибками. С ее помощью можно:

Просматривать журналы событий — в Windows 10 хранится информация о запуске программ, ошибках, входе пользователей и других действиях;
Анализировать историю команд — если кто-то использовал CMD, можно узнать, какие команды выполнялись;
Проверять сетевую активность — например, какие IP-адреса подключались к вашему ПК;
Отслеживать изменения в файлах — некоторые команды позволяют увидеть, какие файлы были модифицированы.

💡

Чтобы неLost данные, сохраняйте результаты команд в текстовые файлы. Для этого добавьте в конец команды > file.txt.

Команда	Описание	Пример использования
`wevtutil qe`	Просмотр журналов событий (Security, System, Application)	`wevtutil qe System /c:5 /rd:true /f:text`
`query user`	Показывает текущих пользователей в системе	`query user`
`netstat -ano`	Отображает активные сетевые подключения	`netstat -ano \| findstr ESTABLISHED`
`type %windir%\system32\LogFiles\WMI\*.log`	Просмотр логов WMI (Windows Management Instrumentation)	`type %windir%\system32\LogFiles\WMI\*.log \| more`

Основные команды для просмотра последних действий

В Windows 10 есть несколько ключевых команд, которые помогают отследить активность. Самые полезные из них:

Эти команды позволяют получить разную информацию: от истории входа в систему до сетевых подключений. Например, wevtutil qe System выведет последние события из системного журнала, а netstat -ano покажет все активные подключения с указанием PID (идентификатора процесса).

Если нужно сохранить результаты, добавьте перенаправление в файл: wevtutil qe System /c:10 > events.txt. Это создаст файл events.txt с последними 10 записями из системного журнала.

Как проверить историю входа в систему

Один из самых важных аспектов — отслеживание, кто и когда заходил в систему. Для этого подходит журнал безопасности (Security), который содержит данные о успешных и неудачных попытках входа.

Чтобы получить последние записи о входах, выполните:

wevtutil qe Security /q:"*[System[EventID=4624]]" /c:5 /rd:true /f:text — покажет последние 5 успешных входов (EventID 4624);
wevtutil qe Security /q:"*[System[EventID=4625]]" /c:5 /rd:true /f:text — неудачные попытки входа (EventID 4625);
net user — выведет список всех пользователей на ПК.

Если вы видите незнакомые имена пользователей или подозрительное время входа, это может быть признаком взлома.

Отслеживание запущенных программ и процессов

Чтобы узнать, какие программы запускались на компьютере, можно использовать журнал приложений (Application) или команды для просмотра процессов.

Просмотр активных процессов: tasklist — покажет все текущие процессы с их PID. Чтобы сохранить список: tasklist > processes.txt.
Просмотр истории запуска программ: В журнале Application ищите записи с EventID 1001 или 1002. Например: wevtutil qe Application /q:"*[System[EventID=1001]]" /c:10 /f:text.
Проверка автозагрузки: wmic startup get caption,command — покажет программы, которые запускаются при старте системы.

⚠️ Внимание: Не все программы фиксируются в журналах. Некоторые приложения (особенно портативные) могут запускаться без записи в системные логи.

Анализ изменений в файлах и папках

Если вы подозреваете, что кто-то изменял файлы на вашем ПК, можно проверить даты модификации или использовать специализированные команды.

Метод	Команда	Описание
Просмотр дат изменения файлов	`dir /T:W`	Показывает даты последней записи в файлы в текущей папке
Поиск измененных файлов за последние N дней	`forfiles /P C:\ /S /D +7 /C "cmd /c echo @path @fdate @ftime"`	Выведет файлы, измененные за последние 7 дней
Проверка доступа к файлам	`icacls "C:\path\to\file"`	Показывает права доступа к файлу или папке

Для более глубокого анализа можно использовать fsutil. Например, команда fsutil file queryallranges offset=0 length=100 "C:\path\to\file" покажет информацию о конкретном файле, но это требует прав администратора.

Просмотр истории командной строки

Если вы хотите узнать, какие команды выполнялись в CMD, можно проверить историю. По умолчанию Windows 10 хранит последние 50 команд в буфере.

Способы просмотра:

doskey /history — покажет историю команд текущей сессии;
Проверка файла %USERPROFILE%\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txt — если использовался PowerShell.

История команд в CMD хранится только для текущей сессии. После закрытия окна данные теряются, если их не сохранить вручную.

Практическая инструкция: шаг за шагом

Чтобы не упустить важные детали, следуйте этой пошаговой инструкции:

Как проверить последние действия в Windows 10 через CMD

Откройте командную строку от имени администратора Выполните команду wevtutil qe Security /c:10 /f:text для просмотра событий безопасности Проверьте активные процессы командой tasklist Используйте netstat -ano для анализа сетевых подключений Сохраните результаты в файл для дальнейшего анализа

Выполнено: 0 / 5

Часто задаваемые вопросы

Можно ли через увидеть, какие сайты посещались?

Через командную строку напрямую история браузера недоступна. Однако можно проверить DNS-кэш: ipconfig /displaydns. Это покажет сайты, к которым обращался ПК в последние сутки. Для более глубокого анализа потребуются специализированные утилиты или просмотр логов браузера.

Как сохранить результаты команд в файл?

Добавьте в конец команды символы перенаправления. Например: wevtutil qe System /c:20 > output.txt. Файл output.txt появится в текущей папке. Для добавления к существующему файлу используйте >> вместо >.

Почему я не вижу все события в журналах?

В Windows 10 журналы имеют ограниченный размер и могут перезаписываться. По умолчанию системный журнал (System) хранит последние 20 МБ данных. Чтобы увеличить этот лимит, откройте eventvwr.msc (Просмотр событий), найдите нужный журнал, щелкните правой кнопкой и выберите Свойства.

Можно ли отследить действия удаленного пользователя?

Если к вашему ПК подключались по RDP (Удаленный рабочий стол), это фиксируется в журнале безопасности с EventID 4624 (вход) и 4648 (использование учетной записи с повышенными правами). Проверьте: wevtutil qe Security /q:"*[System[EventID=4624]]" /c:10 /f:text. Для отслеживания действий удаленного пользователя потребуется анализировать журналы приложений и безопасности.