Windows peut conserver la trace d’une clé USB après son débranchement, mais cela ne signifie pas qu’il garde une copie de ses fichiers. Cette mémoire concerne surtout l’identification du périphérique et son installation. Je vais distinguer ces informations techniques d’un véritable historique des données consultées.
Windows が取り外した USB ドライブを記憶する理由
Quand une clé USB est branchée, Windows la détecte avec Plug and Play, puis crée une instance de périphérique. Le système relève notamment des identifiants matériels et des propriétés utiles pour choisir le pilote et reconnaître l’unité lors d’une prochaine connexion.
Pour les supports de stockage classiques, certaines informations sont conservées dans le registre, sous HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumUSBSTOR. Après le débranchement, l’instance peut rester présente tout en étant marquée comme absente. Microsoft désigne ces éléments comme des périphériques non présents, parfois appelés « fantômes ».
Ce mécanisme évite de recommencer toute la configuration à chaque branchement. Il ne signifie pas que Windows conserve les fichiers de la clé en mémoire système, ni qu’il enregistre automatiquement chaque lecture ou transfert. La gestion des périphériques repose ici sur des métadonnées, pas sur une copie cachée du contenu.
プラグを抜いた後に残る情報
Selon le matériel, Windows peut conserver un nom lisible, des identifiants fabricant et modèle, un identifiant d’instance ou des propriétés liées à l’installation du pilote. Certains supports exposent aussi un numéro de série, mais ce n’est pas systématique. Il faut donc éviter de conclure trop vite qu’une entrée correspond sans ambiguïté à une clé précise.
Des propriétés de date peuvent également être disponibles. Elles renseignent sur l’installation ou certains événements d’arrivée et de retrait, mais ne forment pas nécessairement un journal complet de tous les branchements. Une entrée persistante dans le registre prouve surtout que Windows a reconnu le périphérique à un moment donné.
La cache mémoire et les données temporaires ne doivent pas être confondues avec ces informations d’identification. La première concerne notamment les opérations de lecture et d’écriture, tandis que les entrées Plug and Play aident le système à retrouver sa configuration matérielle.
- Une entrée USBSTOR 一致するストレージ デバイスが認識されたことを示します。
- Un nom et des identifiants aident Windows à associer matériel et pilote.
- Une trace de périphérique ne révèle pas à elle seule quels fichiers ont été ouverts ou copiés.
USB デバイスの履歴を表示する方法
Pour une vérification visuelle, ouvrez le Gestionnaire de périphériques avec Windows + X. Dans le menu Affichage, activez « Afficher les périphériques cachés » : les appareils retirés peuvent apparaître grisés.
reg query “HKLMSYSTEMCurrentControlSetEnumUSBSTOR” /s コマンドを使用すると、コマンド プロンプトから USBSTOR サブキーをクエリできます。 PowerShell では、Get-PnpDevice -Class DiskDrive | Format-List Status,FriendlyName,InstanceId には、検出されたドライブとその ID が表示されます。これらのツールは、メディア コンテンツではなく、管理情報を表示します。
Attention aux SSD externes et boîtiers récents. Certains utilisent UASP et peuvent apparaître avec un identifiant commençant par SCSI plutôt que USBSTOR. Une clé USBSTOR absente n’est donc pas une preuve que le PC n’a jamais accueilli de stockage externe.
USB トレースはファイルのコピーを証明しません
登録簿のエントリからは、文書が読み取られたか、変更されたか、コピーされたかどうかを知ることはできません。リムーバブル メディアへの特定のアクセスを記録するために、Windows はオブジェクト アクセス監査という別のメカニズムを提供します。関連する操作を行う前にアクティブ化する必要があります。
Pro、Enterprise、および Education エディションでは、このポリシーは secpol.msc の Advanced Audit Policies and Object Access の下にあります。 Auditpol /get /category:* コマンドは、使用可能なカテゴリを確認するのに役立ちます。カテゴリの名前はシステム言語によって異なる場合があります。
セキュリティ ログのイベント 4656、4663、および 4658 は、アクセス要求と実行された操作に関する手がかりを提供する可能性があります。イベント 4663 は特にパスとプロセスを指定できますが、それだけではコピーが成功したことを示しません。イベントと送信元および宛先のパスを関連付ける必要があります。
Pour comprendre les changements apportés à la gestion USB de Windows 11, consultez aussi cet article sur la refonte USB de Windows 11. L’audit répond à une question différente de l’éjection sécurisée : celle des accès consignés pendant que la surveillance est active.
Éjection sécurisée et nettoyage des anciens appareils
安全なイジェクトは主に、メディアの正しい取り外しと現在の書き込みの終了に関係します。キャッシュ設定は、Windows、デバイス、およびその構成によって異なる場合があります。ファイルの保存に使用されている外部ドライブを取り外す前に、転送が完了していることを確認し、システムが推奨する手順に従うことをお勧めします。
古いエントリを削除するには、デバイス マネージャーで非表示の項目を表示し、グレー表示されたデバイスをアンインストールします。レジストリ内のキーをランダムに削除しないでください。キーはプラグ アンド プレイ操作の一部であり、手動で削除すると、新たなインストールまたは検出の問題が発生する可能性があります。
Enfin, USBSTOR ne couvre pas tous les périphériques USB, notamment certains supports UASP. La trace conservée par Windows est donc utile au diagnostic, mais elle ne constitue ni une preuve de surveillance des fichiers ni un relevé exhaustif des activités. Pour préparer un support de démarrage, le guide consacré à Rufus et aux clés USB bootables traite d’un usage différent, celui de la création du support.
