Windows peut conserver la trace d’une clé USB après son débranchement, mais cela ne signifie pas qu’il garde une copie de ses fichiers. Cette mémoire concerne surtout l’identification du périphérique et son installation. Je vais distinguer ces informations techniques d’un véritable historique des données consultées.
Dlaczego system Windows zapamiętuje odłączone dyski USB
Quand une clé USB est branchée, Windows la détecte avec Plug and Play, puis crée une instance de périphérique. Le système relève notamment des identifiants matériels et des propriétés utiles pour choisir le pilote et reconnaître l’unité lors d’une prochaine connexion.
Pour les supports de stockage classiques, certaines informations sont conservées dans le registre, sous HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumUSBSTOR. Après le débranchement, l’instance peut rester présente tout en étant marquée comme absente. Microsoft désigne ces éléments comme des périphériques non présents, parfois appelés « fantômes ».
Ce mécanisme évite de recommencer toute la configuration à chaque branchement. Il ne signifie pas que Windows conserve les fichiers de la clé en mémoire système, ni qu’il enregistre automatiquement chaque lecture ou transfert. La gestion des périphériques repose ici sur des métadonnées, pas sur une copie cachée du contenu.
Jakie informacje pozostają po odłączeniu
W zależności od sprzętu system Windows może zachować czytelną dla człowieka nazwę, identyfikatory producenta i modelu, identyfikator instancji lub właściwości związane z instalacją sterownika. Niektóre nośniki wyświetlają również numer seryjny, ale nie jest to systematyczne. Musimy zatem unikać zbyt szybkiego wyciągania wniosków, że dany wpis jednoznacznie odpowiada konkretnemu kluczowi.
Dostępne mogą być również właściwości daty. Dostarczają informacji na temat instalacji lub niektórych zdarzeń przybycia i usunięcia, ale niekoniecznie tworzą pełny dziennik wszystkich połączeń. Trwały wpis w rejestrze świadczy przede wszystkim o tym, że Windows w pewnym momencie rozpoznał urządzenie.
Nie należy mylić pamięci podręcznej i danych tymczasowych z tymi poświadczeniami. Pierwsza dotyczy operacji odczytu i zapisu, natomiast wejścia typu Plug and Play pomagają systemowi powrócić do konfiguracji sprzętowej.
- Wejście USBSTOR wskazuje, że rozpoznano pasujące urządzenie pamięci masowej.
- Imię i identyfikatory pomóż systemowi Windows skojarzyć sprzęt i sterowniki.
- Une trace de périphérique ne révèle pas à elle seule quels fichiers ont été ouverts ou copiés.
Comment consulter l’historique des périphériques USB
Aby sprawdzić wizualnie, otwórz Menedżera urządzeń w systemie Windows +
La commande reg query „HKLMSYSTEMCurrentControlSetEnumUSBSTOR” /s permet d’interroger les sous-clés USBSTOR depuis l’invite de commandes. Dans PowerShell, Get-PnpDevice -Class DiskDrive | Format-List Status,FriendlyName,InstanceId affiche les lecteurs détectés et leurs identifiants. Ces outils montrent des informations de gestion, pas le contenu des supports.
Attention aux SSD externes et boîtiers récents. Certains utilisent UASP et peuvent apparaître avec un identifiant commençant par SCSI plutôt que USBSTOR. Une clé USBSTOR absente n’est donc pas une preuve que le PC n’a jamais accueilli de stockage externe.
Ślad USB nie stanowi dowodu kopii plików
Wpis do rejestru nie pozwala nam dowiedzieć się, czy dokument został odczytany, zmodyfikowany lub skopiowany. Aby rejestrować określony dostęp do nośników wymiennych, system Windows oferuje osobny mechanizm: kontrolę dostępu do obiektów. Należy go aktywować przed wykonaniem odpowiednich operacji.
Sur les éditions Pro, Enterprise et Education, cette stratégie se trouve dans secpol.msc, sous les stratégies d’audit avancées et l’accès aux objets. La commande auditpol /get /category:* aide à vérifier les catégories disponibles, dont le nom peut varier selon la langue du système.
Dans le journal Sécurité, les événements 4656, 4663 et 4658 peuvent apporter des indices sur les demandes d’accès et les opérations réalisées. L’événement 4663 peut notamment préciser un chemin et un processus, mais ne démontre pas à lui seul qu’une copie a abouti. Il faut corréler les événements et les chemins source et destination.
Pour comprendre les changements apportés à la gestion USB de Windows 11, consultez aussi cet article sur la refonte USB de Windows 11. L’audit répond à une question différente de l’éjection sécurisée : celle des accès consignés pendant que la surveillance est active.
Éjection sécurisée et nettoyage des anciens appareils
L’éjection sécurisée concerne surtout le retrait correct du support et la fin des écritures en cours. Les réglages de mise en cache peuvent varier selon Windows, le périphérique et sa configuration. Avant de retirer un disque externe utilisé pour enregistrer des fichiers, mieux vaut vérifier que les transferts sont terminés et suivre la procédure proposée par le système.
Aby usunąć stary wpis, Menedżer urządzeń umożliwia pokazanie ukrytych elementów, a następnie odinstalowanie wyszarzonego urządzenia. Unikaj losowego usuwania kluczy z rejestru: są one częścią operacji Plug and Play i ręczne usunięcie ich może spowodować nową instalację lub problemy z wykryciem.
Wreszcie, USBSTOR nie obejmuje wszystkich urządzeń USB, w tym niektórych nośników UASP. Ślad przechowywany przez system Windows jest zatem przydatny do diagnozy, ale nie stanowi dowodu monitorowania plików ani wyczerpującego zapisu działań. Aby przygotować nośnik startowy, zapoznaj się z przewodnikiem poświęconym Rufus et aux clés USB bootables traite d’un usage différent, celui de la création du support.
