USBデバイスの挿抜履歴を知りたい

Question

windows7で特定の時間帯にどのUSB接続デバイス(主にキーボード、マウス、USBメモリなど)が
接続されたかを知りたいという調査依頼を受けています。

調査したところWindowsのイベントビューアーの
Microsoft-Windows-DriverFrameworks-UserMode/Operational
で履歴がみれるということで見てみました。

確かにUSBメモリを挿抜するとイベントが追加されるのですがキーボードやマウスを
挿抜しても追加されませんでした。
カスタムビューでイベントID 2101で全イベントをフィルタリングしても
キャッチできませんでした。
他に何か良い方法はありませんでしょうか。

最終接続 / 取外し日時でも目的が達成できるかもしれないためusbdeviewというソフトを
試してみましたところキーボード等のUSBデバイスでも最終接続/取外し日時が確認できたのですが、
依頼主の環境は規則によりフリーソフトが使えないようで、どこをどのように見ればよいか
どなたかご存知ないでしょうか。

備考
・Windows8.1ではイベントビューアーでキーボードやマウスを挿抜してもイベントが追加しました
・Windows8.1ではデバイスマネージャのデバイスのプロパティ＞詳細のプロパティに
「最後に接続した日」というのがあるのですが、windows7にはありませんでした。

Answer 1

他に良い解がありそうな気がしますが、私の知る範囲で回答してみます。

マイクロソフトがUSBViewというソフトを配布してます。これはUSBデバイスの情報を表示するもので自動更新にしておけば、挿入／削除も検出できます。

https://msdn.microsoft.com/en-us/library/windows/hardware/ff560019(v=vs.85).aspx

ただ、昔はログ機能はありませんでした。最新版では追加されている可能性もあります。
ソースも配布されているので頑張ればログ機能を追加することも可能とは思いますが、USBViewはC言語かC++言語で書かれてますし、結構たいへんかも知れません。

他にWM_DEVICECHANGEを受けてUSBデバイスのみ抽出して記録する簡単なソフトを作ることも考えられます。
.NETでも開発できるようです。

Comments

[juam]

ご回答ありがとうございます。
遅くなってすみません。
上でも書きましたが以下の理由で外部ツールが使えない状況です。
--------------
依頼主の環境がwindows 標準以外の外部ソフトの利用を禁じられている関係でコードを解析して簡易的なものを作って持っていくこともできない状況です。
また、知りたいのはこれからの履歴ではなく、過去の履歴になります。
--------------

[Chironian]

システム管理に関する知識が必要みたいですね。
私はプログラミングの方が専門ですので、私ではお役に立てないようです。
申し訳ないです。

[juam]

いえ、情報が不足しておりすみませんでした。
回答して頂きありがとうございました。

Answer 2

http://siroshitsuji.blog.fc2.com/blog-entry-19.html

Comments

[ipadcaron]

マザーボードの4つの右上のコネクタ、とかそういう場所までとくていできなさそうです。

とりあえず、特定はできないが、ぶつりてきに挿すことで、その場所 USBコネクタに挿さってるでばいすの情報は取得できそうです。
セキュリティポリシーでは、usb メモリいじょうの記憶装置はng だけど、マウスなどのでばいすだけ許可するみたいな設定ができます。pcに挿さるメディア、媒体で危険かどうかの判断はできるみたいです。設定は、bios 設定の更新が必要なので、admin権限持ってても出来ないんじゃないかな。たぶん。

[ipadcaron]

抜き挿しイベントid が提示サンプル hp にありまづ。
vbのコード追いかけてkyださい。

[juam]

遅くなってすみません。
依頼主の環境がwindows 標準以外の外部ソフトの利用を禁じられている関係でコードを解析して簡易的なものを作って持っていくこともできない状況です。
また、知りたいのはこれからの履歴ではなく、過去の履歴になります。