用途：在取证调查中重建 Windows 系统上的 USB 设备连接历史，用于排查可移动存储导致的数据外泄、内部威胁追踪、合规审计，以及将 USB 连接与文件访问、复制事件关联并建立事件时间线。
主要能力：解析 SYSTEM 配置单元中的 USBSTOR 键，提取厂商、产品、修订号、序列号、最后连接时间与友好名称；解析 MountedDevices 获取盘符与卷 GUID 映射；解析各用户 NTUSER.DAT 中的 MountPoints2 确认用户访问过哪些卷；从 setupapi.dev.log 提取设备首次安装时间；从 System、Security、DriverFrameworks-UserMode 等事件日志提取 USB 相关事件；最终汇总为统一时间线 CSV 与设备清单报告。
使用方式：需准备取证镜像或已提取的注册表配置单元（SYSTEM、SOFTWARE、NTUSER.DAT）、setupapi.dev.log 与事件日志，并具备 VID/PID、序列号等 USB 设备标识知识。工作流为：挂载镜像并复制相关工件；用 Python 的 Registry 库解析 USBSTOR；解析 MountedDevices 与 MountPoints2；用正则解析 setupapi.dev.log；用 evtx 的 PyEvtxParser 解析事件日志；最后合并为时间线并输出 CSV。可配合 USB Forensic Tracker、USBDeview、RegRipper、Registry Explorer、KAPE、Plaso/log2timeline、FTK Imager、Velociraptor 等工具。
适用场景：离职员工数据外泄调查、安全系统上的未授权设备审计、通过 USB 投递恶意软件的分析、跨多台系统追踪同一 USB 设备。
限制：资料未提供具体收费、价格、平台支持范围或效果保证；部分设备可能共用序列号，需结合多来源交叉验证；实际结果取决于工件完整性与系统版本。