USB
日志
| 事件ID | 触发场景 | 设备类型 | 日志位置 |
|---|---|---|---|
| 2100 | 磁盘/存储设备安全移除 | U盘/硬盘 | Partition/Diagnostic 日志 |
| 225 | 设备意外断开（含USB设备） | 蓝牙/U盘/外设 | System 系统日志 |
Microsoft-Windows-Partition%4Diagnostic.evtx 文件 在USB设备连接或断开连接的时候创建一个ID为1006的事件记录
Microsoft-Windows-Storsvc%4Diagnostic.evtx 1001或1002事件
Microsoft-Windows-StorageSpaces-Driver%4Operational 存储空间 207事件
插入U盘
拔出U盘
