디지털 포렌식 - USB 접속 기록 확인

장치 관리자

 

장치 관리자 - 보기(V) - 숨겨진 장치 표시(W)

 

디스크 드라이브 - 우클릭 속성(R) - 자세히 - 마지막 제거 날짜

 

 

 

레지스트리

 

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\USBSTOR

 

-확인가능 정보 : USB의 Unique Instance 및 USBSTOR의 Subkey를 분석할 경우 이미 해당 시스템에서 사용하거나 사용했던 USB 장치를 확인

 

 

 

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\USB

 

-확인가능 정보 : USBSTOR에서 확인한 USB의 Unique Instance를 찾으면 USB의 제조사 아이디(VID)와 제품ID(PID) 확인 가능

 

 

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Portable Devices\Devices

 

-확인가능 정보 : 연결했던 USB의 볼륨 이름

 

 

 

 

SetupAPILogging

 

C:\Windows\INF\setupapi.dev.log

 

-확인가능 정보 : 연결됐던 USB의 볼륨명, 시리얼넘버, 볼륨 GUID, Product ID, 최초 연결 시간, 마지막 연결 해제 시간, 저장매체를 사용한 사용자 계정 정보 등

 

 

이벤트 뷰어

 

이벤트 뷰어 - Microsoft- Windows - Partition - Diagnostic

 

 

 

출처: 

https://blogger.pe.kr/698

PC에서 USB 사용 흔적 찾는 방법

 

https://mr-zero.tistory.com/103

[정리] USB 사용 흔적 조사

 

https://ccibomb.tistory.com/1208

이벤트로그 분석 - USB 연결흔적 확인