USB 사용기록 분석

1. 이벤트로그확인

 

C:\Windows\System32\winevt\Logs\System.evtx

 

 

2. 레지스트리확인

 

추출 : C:\Windows\System32\config\RegBack\SYSTEM

추출 : C:\Windows\System32\config\SYSTEM

 

HKEY_LOCAL_MACHINE\System\Controlset002\Control\Class\{...ID...}\00XX

 

{...ID...}의 Class가 USB인 것을 찾는다. 키를 설정한 시간으로 최종으로 꽂은 시간을 확인할 수 있다.

 

 

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Portable Devices\Devices\.........#UMB#..&... ... VEN_제조사이름&하드웨어이름...

 

 

 

AppCompatCache확인(64비트 PC의 경우)

 

HKEY_LOCAL_MACHINE\System\ControlSet001\Control\Session Manager\AppCompatCache 에서

AppCompatCache 내용을 확인한다.

 

 

 

사용자가 실행한 프로세스 확인

 

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist

이 파일은 계정 아래에 있는 NTUSER.dat 파일 안에 기록되어 있다.

UserAssistView를 다운받아서 보면 잘 보인다.

 

 

 

 

3. setupapi.dev.log 파일확인

 

최초 USB 꽂으면 사용한 흔적이 남는다. 

%SystemRoot%\inf\Setupapi.dev.log