Как определить под какой учетной записью подключалось USB устройство? - Форум по вопросам информационной безопасности

А если в данный момент было зарегистрировано несколько пользователей? Необходимо анализировать, кто "владел" рабочим столом в момент втыкания.
Вообще говоря, с точки зрения защиты информации интересно не то, кто воткнул, а от чьего аккаунта читалась или писалась информация с флешки/на флешку.

>>>Вообще говоря, с точки зрения защиты информации интересно не то, кто воткнул, а от чьего аккаунта читалась или писалась информация с флешки/на флешку.

С точки зрения защиты информации интересно и то, кто воткнул. Если, была передача носителя несанкиционированному пользователю, то это также инцидент ИБ.

Ирина задала вопрос. Она уже "прорубила" все озвучиваемые интересы, поэтому и спрашивает.
Есть что по существу?
Как не через AD, а непосредственно через логи Винды узнать всё то, что представляет интерес? Или же это возможно только посредством установленной СЗИ?

С помощью той же программы USB History можно узнать последнюю дату и время монтирования конкретного USB-устройства.

Далее, в ОС Windows заходим в Панель Управления -> Администрирование -> Просмотр событий и выбираем раздел Безопасность. В событиях будет чётко написано, кто и в какое время авторизовывался в системе.

Сопоставив данные полученные программой USB History и данные лог-файла легко определяем кто конкретно и с каким USB-устройством работал в конкретное время.

Что касаемо действий, производимых с UBS, например, копирование файла, то я думаю это также несложно узнать.

Почитал немного про копирование файлов. Беру свои слова про несложность обратно. Оказывается факт копирования узнать невозможно. Хотя, надо почитать ещё.

В принципе, другие также "недалеко ушли" в вариантах решения:
http://www.xakep.ru/post/54778/

Ист: http://soft-arhiv.com/publ/1-1-0-4

4. Алексей
06.02.2012
А можно в реестре узнать дату и время последнего подключения выбранной флешки или телефона?

Ответ:
В системном реестре не хранятся такие данные. Есть удобные программы, которые контролируют и заносят в подробные отчет подключения по USB: дата, время, пользователь, скопированные с компьютера, или на компьютер данные, запущенные с USB носителя файлы и т.д. Название, к сожалению не помню.

Ну если DL деинсталирован, может вот это?
http://www.staffcop.ru/standard/examples.php
В любом случае, целесообразно иметь сервер, позволяющий осуществлять теневое копирование.

Ирина, извините, для ХP не нашёл, но для семёрки готовое пособие. Копируйте, цитируйте:
http://www.winsecurity.ru/articles/extracting-usb-artifacts-from-windows-7.html

Нефедьев С.Г., спасибо вам большое, устанавливаю DLock. Найду нарушителей, отпишусь. С DLock таких проблем не будет