01Konum
- SYSTEM hive: ControlSet00n\Enum\USBSTOR\<Type>&Ven_<Vendor>&Prod_<Product>&Rev_<Revision>\<instance>
- SYSTEM hive: ControlSet00n\Enum\USB
- SYSTEM hive: MountedDevices
- SOFTWARE hive: Microsoft\Windows Portable Devices
- NTUSER.DAT: Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2
- C:\Windows\INF\setupapi.dev.log
02Yanıtladığı sorular
- Hangi USB yığın depolama aygıtları (üretici, ürün, revizyon, seri) bağlandı?
- Bir aygıt örneği sisteme ilk kez ne zaman kuruldu?
- Bir aygıta hangi sürücü harfi veya birim GUID'i eşlendi?
- Birimi hangi kullanıcı profili gördü (MountPoints2)?
03Biçim ve sürümler
| Biçim | Kayıt defteri anahtarları. USBSTOR örnek anahtarları FriendlyName, HardwareID, ContainerID ve Data değerleri türlendirilmiş (0x0007 32 bit tamsayı, 0x0010 FILETIME, 0x0012 UTF-16LE dize) bir Properties ağacı içerir. MountedDevices değerleri UTF-16LE aygıt dizesi, GPT biçimi ('DMIO:ID:' + bölüm GUID'i) veya MBR biçimi (disk imzası + bölüm ofseti) taşır. SetupAPI günlükleri ANSI düz metindir. |
|---|---|
| Geçerli olduğu sürümler | USBSTOR ve MountedDevices: Windows 2000–11. SetupAPI.dev.log: Windows Vista ve sonrası (öncesinde %SystemRoot% altında setupapi.log). DEVPKEY_Device_FirstInstallDate: Windows 7 ve sonrası. |
04Temel alanlar
| Alan | Ne anlatır |
|---|---|
| USBSTOR device key | <Device Type>&Ven_<Vendor>&Prod_<Product>&Rev_<Revision Number>; USBSTOR.SYS aygıt tanımlayıcısından türetilir. |
| Instance key name | Aygıt seri numarası; ikinci karakter '&' ise değer yalnızca o sistemde benzersizdir. |
| FriendlyName / Mfg | İnsan tarafından okunabilir aygıt açıklaması ve üretici. |
| Enum\USB | Üretici ve ürün kimlikleri (VID/PID); USBSTOR'daki seri numarasıyla eşleştirin. |
| Device Parameters\Partmgr DiskId | Diski tanımlayan GUID. |
| MountedDevices values | \DosDevices\<harf>: ve \??\Volume{GUID} adlarının aygıt dizeleri, GPT veya MBR tanımlayıcılarıyla eşlenmesi. |
05Zaman damgaları
| Alan | Kodlama | Not |
|---|---|---|
| Properties values of type 0x0010 | FILETIME (UTC) | Örnek anahtarının Properties ağacı altında saklanan aygıt özellik zamanları. |
| DEVPKEY_Device_FirstInstallDate | FILETIME (DEVPROP_TYPE_FILETIME) | Aygıt örneğinin ilk kurulduğu zaman; DEVPKEY_Device_InstallDate'in aksine sürücü güncellemeleriyle değişmez. |
| MountedDevices key last written time | FILETIME (UTC) | Her değere değil anahtarın tamamına uygulanır. |
Ham değerleri Zaman damgası çözücü, yerel saatleri ise Yerel saatten UTC'ye ile çözün.
06İnceleme akışı
- Her denetim kümesindeki USBSTOR aygıt ve örnek anahtarlarını listeleyin; üretici, ürün, revizyon, seri ve FriendlyName'i kaydedin.
- VID ve PID'yi elde etmek için aynı seriyi Enum\USB altında bulun.
- İlk kurulum tarihi dahil türlendirilmiş Properties değerlerini okuyun.
- Aygıtı MountedDevices, Partmgr DiskId ve kullanıcı bazlı MountPoints2 üzerinden birim ve harflere eşleyin.
- Kurulum girdilerini doğrulamak için setupapi.dev.log içinde aygıt örnek kimliğini arayın.
07Yorum tuzakları
- İkinci karakteri '&' olan örnek kimliği Windows tarafından üretilir; aygıtın kendi seri numarası değildir.
- USBSTOR yığın depolama aygıtlarını kapsar; taşınabilir aygıtlar Windows Portable Devices altında listelenir.
- Eski MountedDevices girdileri silinebilir (mountvol /r); girdinin olmaması kullanılmadığını kanıtlamaz.
09Kaynaklar
- USB storage libyal / winreg-kb · erişim 2026-10-14
- Mounted devices libyal / winreg-kb · erişim 2026-10-14
- Identifiers Generated by USBSTOR.SYS Microsoft Learn · erişim 2026-10-14
- SetupAPI Text Logs Microsoft Learn · erişim 2026-10-14
- DEVPKEY_Device_FirstInstallDate Microsoft Learn · erişim 2026-10-14
- RECmd batch file Kroll_Batch.reb (key descriptions) Eric Zimmerman / Kroll (GitHub) · erişim 2026-10-14
- Windows artifact definitions (windows.yaml) ForensicArtifacts / artifacts · erişim 2026-10-14