Чи події відключення USB ввійшли в Windows 7? (Коли в мене вкрали мишу?)

Я знаю, це звучить якось смішно, але хтось вкрав мишу з моєї кабіни .. Я прийшов на роботу вранці і збирався дати миші трохи поштовх, щоб прокинути монітор, але його там не було!

Я намагаюся з’ясувати, коли це сталося. Я запускаю Windows 7, і це USB-миша. Я перевірив журнали подій, але, здається, немає журналів, які могли б підказати мені, що я шукаю.

Чи є місце, де реєструються події відключення USB?

— пепсі
джерело

Мій журнал подій називається камерою безпеки.

— Барт Сільверстрім

Я, як правило, в сушарці відсутні відсутні миші.

— GregD

Встановіть пастку, придбайте приховану камеру та приємнішу мишу, щоб знову спокусити злодія.

— Моав

Мені подобається це питання, я хотів би, щоб на нього відповіли ...

— studiohack

винуватця коли-небудь спіймали?

— Дрю

Відповіді:

На жаль, у них немає журналу - ці події втрачені назавжди. Я завжди хотів dmesgеквівалент у Windows.

У Windows XP та більш ранніх версіях ви можете використовувати winmsdдля створення вихідної конфігурації системи, але в пізніших версіях її замінили msinfo32(додаток GUI, що я не настільки впевнений у розборі результатів).

Обидва ці дані дають лише точну інформацію про час, тому для роботи з детективом крадіжок миші вам потрібно буде регулярно реєструвати вихід у winmsdфайл. Я мушу визнати, що я особисто пішов із пропозицією веб-камери в майбутньому.

— Саймон
джерело

Але чи "можливо" для програми Windows це зробити? Або функціональність просто не доступна в Windows (тому програми не мають можливості це зробити)?

— Печер'є

Власне, для цього є файл журналу. Він називається Microsoft-Windows-DriverFrameworks-UserMode-Operational.evtx, але він за замовчуванням відключений у Win10.

— StackzOfZtuff

Зараз це може бути вже пізно, але Є кілька програм, які будуть робити саме це. Найпростіший з них - USBLogView

Іншими параметрами, не такими дружніми, є USB-накопичувач USB Storage Parser або USBView Microsoft (UVCView на Win7), який постачається з комплектом драйверів Windows (WDK).

Якщо ви дійсно хочете забруднити руки, відкрийте RegEdit і шукайте наступні записи:

Опис : Список встановлених USB-пристроїв, як підключених, так і непоєднаних Розташування : HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Enum \ USB Чому ви дбаєте : Може бути корисним знати, які USB-пристрої підключені до коробки, і навіть постачальник та серійний номер пристрою в деяких випадках. Думаєте, хтось скопіював дані в патрон? Це може допомогти вам відстежити, що саме потрібно зробити. Подумайте, наскільки корисно це може допомогти прив’язати до коробки те, що має фізичний користувач.

Опис : Список встановлених USB-накопичувачів Розташування : HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Enum \ USBSTOR Чому вам все одно : Настільки ж, як встановлені USB-пристрої, але тільки для USB-накопичувача. Думаєте, хтось скопіював дані в патрон? Це може допомогти вам відстежити, що саме потрібно зробити. CleanAfterMe скраби HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Enum \ USB, але не USBSTOR, коли я останній тестував.

— Гея
джерело

Моніторинг цих ключів за допомогою Procmon.exe від SysInternals робив саме те, що мені потрібно.

— Дуг Вілсон