USB 拔出事件是否记录在 Windows 7 中？（我的鼠标什么时候被偷的？）

Question

我知道这听起来有点可笑，但是有人从我的小隔间里偷了我的鼠标......我早上来上班，正要轻轻推一下我的鼠标来唤醒显示器，但它不在那里！

我想弄清楚这是什么时候发生的。我运行的是 Windows 7，它是一个 USB 鼠标。我检查了事件日志，但似乎没有任何日志可以告诉我我在寻找什么。

有没有记录 USB 拔出事件的地方？

Answer 1

现在可能为时已晚，但有一些软件可以做到这一点。最容易使用的是USBLogView

其他不太友好的选项是Windows USB Storage Parser或 Microsoft 的 USBView（Win7 上的 UVCView），它们随 Windows Driver Kit (WDK) 一起提供。

如果您真的想亲自动手，请打开 RegEdit 并查找以下条目：

描述：已安装的 USB 设备列表，包括连接和未连接位置：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USB为什么你关心：知道哪些 USB 设备连接到一个盒子会很有用，甚至供应商和序列号在某些情况下设备。认为有人将数据复制到拇指驱动器？这可能会帮助您找到拇指驱动器。想想帮助将用户物理拥有的东西绑定到一个盒子是多么有用。

描述：已安装的 USB 存储设备列表位置：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR为什么关心：很像已安装的 USB 设备条目，但仅用于 USB 存储。认为有人将数据复制到拇指驱动器？这可能会帮助您找到拇指驱动器。CleanAfterMe 在我上次测试时擦洗 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USB 而不是 USBSTOR。

Answer 2

不幸的是，没有它们的日志——这些事件永远丢失了。我一直想要一个dmesgWindows 上的等价物。

对于 Windows XP 及更早版本，您可以使用它winmsd来生成系统配置输出，但在更高版本中，它已被替换为msinfo32（我不太确定解析输出的 GUI 应用程序）。

但是，这两者都只为您提供时间点信息，因此对于鼠标盗窃侦探工作，您需要定期将输出记录winmsd到文件中。我必须承认，我个人将来会采用网络摄像头的建议。