Win11怎么监控USB移动存储设备的插入与拔出时间日志-Windows系列-PHP中文网

直接读取注册表usbstor路径下的firstinstalldate、lastarrival和lastdeparture二进制时间戳（windows filetime格式），再用powershell转换为可读日期，即可精准获取usb设备首次识别、最近插入及拔出时间；还可启用kernel-pnp与dfu日志并筛选eventid 212/213获取毫秒级插拔事件。

win11怎么监控usb移动存储设备的插入与拔出时间日志

要精准掌握U盘、移动硬盘等USB存储设备在Windows 11中每次插入和拔出的具体时间，必须绕过图形界面的模糊提示，直接读取系统底层记录的精确事件时间戳——这些日志默认存在，但不通过“设置”或“事件查看器”常规路径直观呈现。

从注册表直接查看最近一次USB存储设备插拔时间

这一步最快，适合快速确认某台电脑上是否刚被插过U盘。

按 Win + R → 输入 regedit → 回车打开注册表编辑器。

导航至路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR。

展开该键后，你会看到多个以厂商名+型号命名的子项（如 SanDisk_Ultra_Fit_4C530001370925116272），每个子项代表一种曾连接过的USB存储设备。

点击任一子项 → 右侧窗格查找名为 FirstInstallDate 和 LastArrival 的 REG_BINARY 值：前者是首次识别时间，后者是最近一次插入时间；LastDeparture 则记录最近一次安全弹出或强制拔出的时间——这三个值均以 Windows FILETIME 格式存储（微秒级时间戳，自1601年1月1日UTC起算）。

【注意：直接双击查看会显示乱码，必须用PowerShell转换】

用PowerShell解析USB插拔时间戳为可读日期

在任意位置右键 → 选择“在此处打开终端” → 输入以下命令：

powershell -Command "$ft = (Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Enum\USBSTOR\*\*').LastArrival; [DateTime]::FromFileTime($ft)"

若想批量查所有设备的最近插入时间，运行：

Get-ChildItem HKLM:\SYSTEM\CurrentControlSet\Enum\USBSTOR\* | ForEach-Object { $prop = Get-ItemProperty $_.PSPath; if ($prop.LastArrival) { [PSCustomObject]@{Device=$prop.FriendlyName; LastInsert=[DateTime]::FromFileTime($prop.LastArrival)} } }

执行后将列出每个设备名称及其最后一次插入的完整日期与时间（精确到秒）。