我在哪里可以在事件查看器中找到有关最近USB插入的日志？[重复]
Answers:
根据scottschlaefli的回答，Windows默认情况下不记录此事件。但是，您可以使用第三方实用程序来执行此操作。我发现一个有用的记录USB活动的方法：http : //www.nirsoft.net/utils/usb_log_view.html
USBLogView是一个小型实用程序，在后台运行，并记录已插入或未插入系统的任何USB设备的详细信息。对于USBLogView创建的每个日志行，将显示以下信息：事件类型（即插拔），事件时间，设备名称，描述，设备类型，驱动器号（对于存储设备），序列号（仅对于某些类型的设备） ），供应商ID，产品ID，供应商名称，产品名称等。
默认情况下，USB插入不是Windows事件查看器中的已记录事件。您可以按照Technet文章中的以下步骤，使用Logman为USB设备创建事件跟踪：
在管理命令提示符下，输入以下内容
logman create trace -n usbtrace -o %SystemRoot%\Tracing\usbtrace.etl -nb 128 640 -bs 128
logman update trace -n usbtrace -p Microsoft-Windows-USB-USBXHCI (Default,PartialDataBusTrace)
logman update trace -n usbtrace -p Microsoft-Windows-USB-UCX (Default,PartialDataBusTrace)
logman update trace -n usbtrace -p Microsoft-Windows-USB-USBHUB3 (Default,PartialDataBusTrace)
logman update trace -n usbtrace -p Microsoft-Windows-USB-USBPORT
logman update trace -n usbtrace -p Microsoft-Windows-USB-USBHUB
logman update trace -n usbtrace -p Microsoft-Windows-Kernel-IoTrace 0 2
logman start -n usbtrace
这将在％SystemRoot％\ Tracing \ usbtrace.etl中创建跟踪
该日志可能会变得过大，并且在多个会话之间记录USB堆栈的所有活动并不是一个好主意，这更多是为了解决USB活动。
当通过操作系统插入和插入USB磁盘时，事件ID 4688将被记录到Windows> Security中，这可能就足够了，但是只要连接了USB设备，就没有日志条目。如果关注的是可移动存储设备，则可以通过组策略强制执行审核，如下所示：
使用以下命令强制执行GPO：
选中“计算机配置”>“安全设置”>“高级审核策略配置”>“对象访问”>“可移动存储审核”>“成功（如果需要，也可以失败）”审核事件框。
在运行Windows 7或10的设备上，将USB设备插入需要驱动程序的系统时，事件日志中会记录一些事件。
您可以查看USB设备正在连接，以及通过使用事件查看器分析以下事件来断开它们的连接：“ Microsoft / Windows / DriverFrameworks-UserMode / Operational”事件日志。（默认情况下，未启用此事件日志，因此，如果您对在启用此日志之前发生的事件感兴趣，则很不走运。）