在Christopher Brookmyre的小說中有個故事講到，所有人都沉浸在歡樂和游戲中，直到一天有個人失去了一只眼睛，一個會黑客技術的人物打開了一臺計算機，然后檢查boot日志來看看計算機上次運行是什么時候以及運行了多長時間。
　　然后，她檢查了訪問目錄，以便知道上次哪些文件夾被人打開過。這樣的情節到底是小說中編造的呢，還是確實存在呢?
　　該書是在2005年出版的，因此我們假設這臺計算機的操作系統是XP。第一部分很簡單，不過你應該看的不是boot日志而是系統事件日志。
　　啟動事件閱讀器，你可以在控制面板或者開始菜單的管理工具中找到它，然后點擊左邊窗口中的系統。調整窗口的大小，以便你看到右邊窗口的事件欄。
　　尋找一個6009的條目——它顯示PC什么時候關閉或者重啟的。有數個事件會記錄開機操作，代碼是7035，7036和26，還跟很多服務和核對有關。
　　右鍵點擊一個事件然后選擇屬性，它會顯示一個簡短的說明，你可以通過點擊事件屬性框中的鏈接來看到更詳細的說明。
　　薛定諤的文件?
　　確定文件或文件夾什么時候最后被訪問更加困難。Windows系統中的每一個文件和文件夾——NTFS格式和FAT格式的文件系統都一樣——有三個關聯日期。修改的日期是你在Explorer的默認設置下或者Dos情況下輸入“dir”后能看到的。這顯示了文件最后保存的日期和時間。
　　如果你打開一個文件然后保存——即使沒有修改——你也將發現這些變化。創建日期是文件在硬盤上當前位置被創建時的日期。因此如果你創建了一個新的文件，在時間顯示為1月1日的應用程序上保存它，然后把它復制到時間為1月2日的文件夾，那么復制文檔的創建日期會是1月2日，但修改日期是1月1日。
　　一些文件，比如Jpeg圖片或者微軟Word文檔，在高級選項模式下會保存原始創建日期，但是這個是存儲在文件本身當中而不是文件系統里。轉移，而不是復制的話，通常文件保存的都是創建日期。
　　如果你不喜歡某些東西在創建前被修改這種概念，那么你會更不喜歡訪問日期的概念。如果你右鍵點擊文件然后選擇屬性，你可以看到文件的全部三個日期。
　　但是，右鍵點擊這樣的操作也會被算作訪問文件，因此上次訪問的日期會變為當前的日期和時間。察看文件的屬性，就是你修改了它們——似乎系統的設計者是受了量子物理的啟發。
　　如果你的系統是Windows ME,2000或者XP，那么你可以在Explorer的詳細察看中會看到全部的三個日期。在ME或者2000中，點擊察看菜單，然后‘選擇欄目’(XP中是察看，選擇詳細信息)。勾上創建日期和訪問日期的選擇框，你就可以看到文件和文件夾額外的欄目。
　　你也可以在Dos命令下察看訪問日期。在XP中，輸入dir/ta，會顯示最后訪問日期—/tc和/tw則會顯示創建和最后修改的日期。老版本的Dos上，句法略有不同。
　　/oa 和/od會分別列出文件的訪問和修改日期，但是這有一定局限性。與選擇順序無關，兩種情況下你看到的日期都是修改日期。要想兩個都能看到，可以使用/v(verbose)切換也可以用分類順序轉換。
　　說了這么多，就是說察看最后訪問日期是不大可行的。例如，在Windows ME中，打開文件夾并不改變最后訪問日期。XP系統中，打開文件夾確實改變最后訪問時間——但不是立刻改變。
　　更糟糕的是，還有太多其它的東西，比如Windows 桌面搜索索引以及其他服務，也會改變最后訪問日期，因此你不可能分清到底文件夾最后是被用戶打開的還是操作系統常規訪問到的。
　　引入監聽裝置
　　另有其他的辦法幫助Brookmyre擺脫XP困境，但是那種方法需要很大的勇氣。你可以設置監聽裝置紀錄對各種各樣對象——比如文件，文件夾，打印機以及注冊鍵值——的訪問。
　　首先你得以管理員的身份登陸，而后如果你明智的話，創建