windows提供四种设备连接审计方法：一、事件查看器查近期插拔日志（事件id 2003/2100）；二、注册表currentcontrolset\enum查历史设备痕迹；三、“我的设备历史记录”跨设备同步外设状态；四、第三方工具实现高精度usb操作审计。
一、使用事件查看器查看设备连接日志
Windows 系统会在设备插入或拔出时自动记录相关事件，这些日志集中保存在“事件查看器”的系统日志中，适用于追溯近期（默认保留约30天）的USB、蓝牙、便携设备等连接行为。
1、按下 Win + R 打开运行窗口，输入 eventvwr.msc 并回车，启动事件查看器。
2、在左侧导航栏中依次展开 Windows 日志 → 系统。
3、在右侧操作面板点击 “筛选当前日志”，在“事件来源”下拉菜单中选择 Microsoft-Windows-Kernel-PnP 或直接在“事件ID”框中输入 2003（设备已连接）、2100（设备已断开），点击确定。
4、筛选结果中将显示设备连接/断开的时间戳、设备描述、硬件ID（如 USB\VID_0951&PID_1666）等信息；双击某条记录可查看详细字段，包括 连接时间、设备路径、驱动加载状态。
二、通过注册表查看已枚举设备痕迹
Windows 在注册表中持久化存储所有曾被系统识别过的硬件设备信息，路径位于 CurrentControlSet\Enum 下，该方式可查到长期甚至已卸载设备的历史记录，但不包含精确时间戳。
1、按下 Win + R，输入 regedit 并以管理员权限确认打开注册表编辑器。
2、在地址栏粘贴并跳转至路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum。
3、在此根键下逐级展开子项，重点关注以下分类目录：USB、USBSTOR（U盘/移动硬盘）、BTHENUM（蓝牙设备）、SCSI、PCI。
4、进入具体设备子项（如 USBSTOR\Disk&Ven_Kingston&Prod_DT100G3…），右侧窗格中查看 FriendlyName（设备友好名称）、HardwareID（硬件标识）、FirstInstallDate（首次安装日期，部分设备含此值） 等键值。
三、启用并查看“我的设备历史记录”功能
Windows 10/11 提供了基于账户同步的“我的设备历史记录”服务，用于跨设备恢复最近使用的外设访问状态（如蓝牙耳机重连提示、打印机快速配对），其数据受隐私设置控制且仅限登录同一 Microsoft 账户的设备间可见。
1、打开系统设置，进入 设置 → 隐私与安全 → 活动历史记录。
2、确保开关 “在此设备上存储我的活动历史记录” 处于开启状态。
3、向下滚动至 “我的设备历史记录” 区域，点击右侧开关启用该功能。
4、启用后，系统将在后台记录设备配对、连接尝试等交互事件，并在“设置 → 蓝牙和其他设备”页面的“添加设备”流程中优先推荐历史设备；该记录可通过 “清除活动历史记录” 按钮一键删除。
四、借助第三方审计工具获取完整插拔日志
面向企业环境或需高精度审计场景，专业USB管控软件能突破系统原生日志限制，提供带用户上下文、文件级操作、策略触发告警等增强能力，尤其适用于合规审查与安全溯源。
1、下载并部署支持USB审计的工具（如域智盾、USBLogView、USBDeview 等）。
2、以域智盾为例：安装客户端后，在管理控制台新建策略，启用 “USB存储使用审计” 和 “USB文件操作审计” 模块。
3、策略生效后，后台自动采集每台终端的 插拔时间、用户名、设备卷标、序列号、容量、文件复制/删除路径、操作大小 等结构化数据。
4、在Web控制台的“USB存储使用”或“USB文件操作”模块中，按时间、设备、用户、部门等维度筛选查看，支持导出 Excel格式审计报表 用于留档或上报。
