可通过事件查看器查近30天插拔日志、注册表USBSTOR项查长期设备指纹、USBDeview导出全量历史清单、域智盾实现带用户身份的审计追踪。
如果您想确认某台Windows电脑曾经连接过哪些U盘或USB存储设备，系统确实在多个位置留下了可追溯的痕迹。以下是查询已连接USB设备历史记录的具体方法：
一、通过Windows事件查看器检索插拔日志
Windows会在系统日志中自动记录USB设备的即插即用（PnP）事件，包括设备连接与断开时间、设备ID及端口信息，适用于快速回溯近30天内的接入行为。
1、按下 Win + R 组合键，输入 eventvwr.msc 并回车，打开“事件查看器”。
2、在左侧导航栏中依次展开：Windows日志 → 系统。
3、在右侧操作面板点击“筛选当前日志”，在“事件来源”栏输入 Kernel-PnP，并勾选事件ID 2003（设备插入） 和 2004（设备弹出），点击“确定”。
4、筛选结果中每条记录均包含精确到秒的时间戳、设备描述（如“USB Mass Storage Device”）及设备实例路径，双击可查看完整硬件标识符（如VID_0951&PID_1666）。
二、浏览注册表中USBSTOR枚举项
Windows注册表长期保存所有曾接入的USB存储设备的硬件指纹，包括厂商ID（VID）、产品ID（PID）、序列号及FriendlyName，即使U盘已被格式化或更换标签仍可识别。
1、按 Win + R 输入 regedit，以管理员权限运行注册表编辑器。
2、导航至路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR。
3、该路径下每个子项文件夹名称即为U盘的设备类型标识（如“KingstonDataTraveler3.0”），展开后右侧窗格中可查看 FriendlyName（设备显示名）、LastWriteTime（最后写入时间，近似为最后连接时间）及 ContainerID（唯一设备容器标识）。
三、使用USBDeview工具快速导出全部USB设备清单
USBDeview是一款轻量级绿色工具，无需安装即可扫描系统中所有曾连接过的USB设备（含已卸载设备），并以表格形式列出设备名称、连接/断开时间、序列号、驱动状态等字段，支持导出为HTML或CSV格式。
1、从NirSoft官网（nirsoft.net）下载 USBDeview.exe，解压后直接运行。
2、启动后自动扫描，列表中所有灰色条目代表“已断开但注册表仍保留记录”的设备，黑色条目为当前已连接设备。
3、点击菜单栏“Options → Show Disconnected Devices”确保显示全部历史设备。
4、右键选择“Select All”，再点击“Save Selected Items”导出为文本或Excel，便于离线查阅。
四、借助域智盾软件实现全维度审计追踪
对于需长期留存、多终端统一管理、或要求关联操作人身份的场景，专业U盘管控软件可提供带账户上下文的完整行为链，包括插拔时间、设备物理属性、登录用户SID、计算机名称及IP地址。
1、在被监控终端安装域智盾客户端，在管理员控制台启用“USB设备插拔审计”策略。
2、登录管理后台，进入“外设管理 → U盘使用记录”，可按日期范围、设备序列号、操作账号、计算机名称进行组合筛选。
3、每条记录包含：插入时间、拔出时间、设备VID/PID、序列号、卷标、接入端口编号、操作系统用户名、主机名及MAC地址。
