如何查询电脑插入光驱的记录？

Question

**问题描述：** 如何在Windows系统中查询光驱的插入与使用记录？是否可以通过系统日志或注册表查看历史记录？是否存在第三方工具可以辅助审计光驱访问情况？

Answer 1

一、Windows系统中光驱插入与使用记录的查询方法

在Windows系统中，查询光驱的插入与使用记录是系统审计和安全分析中的一项重要任务。这类信息通常用于排查安全事件、追踪数据泄露或进行内部合规性审计。

二、通过系统日志查看光驱使用记录

Windows事件日志系统记录了大量与硬件设备相关的事件，包括光驱的插入和使用情况。

• 事件查看器路径： 打开“事件查看器” → “Windows日志” → “系统”。
• 关键事件ID：
  • 20001 - 设备安装
  • 20003 - 设备移除
  • 7045 - 服务安装（有时与设备驱动相关）
• 查找包含关键词“CDROM”或“光驱”的事件描述。

三、通过注册表查看光驱历史记录

Windows系统会将光驱设备的安装历史记录保存在注册表中，便于后续查询。

注册表路径：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\IDE

或：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\SCSI

在这些路径下，查找包含“CDROM”或“光驱”关键字的子项。

每个设备实例下会包含如下信息：

键名	说明
DeviceDesc	设备描述信息
HardwareID	硬件标识符
Class	设备类别（如 CDROM）

四、使用第三方工具辅助审计光驱访问情况

虽然Windows系统自带了一些日志和注册表功能，但使用第三方工具可以更高效地审计光驱访问行为。

以下是一些常用的第三方工具：

• USBDeview：虽然主要用于USB设备，但也支持查看光驱设备历史记录。
• DevManView：命令行方式查看设备管理器中的设备状态。
• LogParser：微软官方日志分析工具，可解析事件日志并提取光驱相关记录。
• Event Log Explorer：支持高级日志过滤和分析，适用于大规模日志审计。

五、结合PowerShell脚本自动化提取光驱使用记录

可以使用PowerShell脚本自动化提取与光驱相关的事件日志，提高效率。

示例脚本如下：

$filter = @{
    LogName = 'System'
    ID = 20001, 20003
  }
  Get-WinEvent -FilterHashtable $filter | Where-Object { $_.Message -like "*CDROM*" } | Format-List TimeCreated, Id, Message

该脚本将筛选出系统日志中与光驱插入/移除相关的事件。

六、构建光驱访问审计流程图

以下是光驱访问记录审计的流程图，展示了从日志采集到分析输出的全过程。

graph TD
    A[开始] --> B[检查系统日志]
    B --> C{是否发现光驱相关事件?}
    C -->|是| D[导出事件日志]
    C -->|否| E[检查注册表设备记录]
    E --> F{是否发现光驱设备历史?}
    F -->|是| G[记录设备信息]
    F -->|否| H[使用第三方工具分析]
    H --> I[输出审计结果]
    D --> I
    G --> I
    I --> J[结束]