USB‑tidslinjen i Windows: første og sidste tilslutning, serienummer og drevbogstav

Forside › Windows-forensik · Gennemgået oktober 2026 · Af John Nielsen

Windows registrerer ikke bare, at en USB-enhed har været tilsluttet, men ofte også hvornår den første gang blev installeret, hvornår den senest blev tilsluttet og fjernet, og hvilket drevbogstav og hvilken volumen den fik. Udskrivning er en anden vej ud af huset med egne spor; se Print i Windows. Tidspunkterne ligger spredt i setupapi-loggen, i enhedens egenskaber i registreringsdatabasen og i flere hændelseslogs, og de har hver deres tidszone, præcision og fejlkilder. En holdbar USB-tidslinje bygges ved at koble enhedens serienummer til volumen, drevbogstav og brugerens filåbninger.

Grundartiklen Windows-artefakter beskriver, hvor USB-sporene ligger, og hvad de kan vise. Den gentages ikke her. Her handler det om tidspunkterne og koblingerne. Den almene forklaring for ikke-teknikere står på hubben i USB-nøgler og eksterne diske som bevis.

Enhedens identitet

En USB-lagerenhed identificeres i Windows af en kombination af producent, produkt, revision og et serienummer, som enheden selv oplyser. Har enheden ikke et unikt serienummer, danner Windows et id, der typisk har et og-tegn som andet tegn. Et sådant id er knyttet til porten og computeren og kan ikke bruges til at genkende samme enhed på en anden computer.

Ud over enhedens serienummer er der to andre identiteter, der skal holdes adskilt:

• Volumenets GUID tildeles af Windows og knytter enheden til et monteringspunkt.
• Volumenserienummeret skrives i filsystemet ved formatering. Det er dette nummer, LNK-filer og jump lists gemmer. Formateres drevet igen, ændres det.

Koblingen mellem de tre er nøglen til at vise, at en bestemt fil blev åbnet fra en bestemt fysisk enhed.

Kilder til tidspunkter

setupapi.dev.log. Når Windows installerer en driver for en ny enhed, logges det i setupapi.dev.log i Windows’ INF-mappe. Første forekomst af enhedens id i loggen er et godt mål for første tilslutning på den computer. Loggen skrives i lokal tid uden angivelse af tidszone, så computerens tidszone skal hentes fra registreringsdatabasen og anvendes ved konvertering.

Enhedens egenskaber i registreringsdatabasen. Under enhedens nøgle i SYSTEM-hiven findes egenskabsnøgler med tidsstempler. Første installation er dokumenteret af Microsoft og ændres ikke ved driveropdateringer. Nyere versioner gemmer desuden seneste tilslutning og seneste frakobling. Værdierne er FILETIME i UTC og er ofte de mest præcise kilder til seneste brug.

Nøglernes LastWrite. LastWrite på enhedens nøgler opdateres også af systemet ved genstart og opdateringer og bør ikke alene bruges som tilslutningstid.

Hændelseslogs. Flere Operational-kanaler registrerer tilslutning og fjernelse, afhængigt af version og konfiguration. Nogle kanaler for partitioner og diske registrerer endda oplysninger om volumen og enhedens serienummer ved hver tilslutning, hvilket gør dem særligt værdifulde til at vise gentagne tilslutninger over tid. Andre kanaler er ikke slået til som standard. Hvilke kanaler og id’er der findes, skal aflæses på den konkrete computer, før et fravær tolkes. Overblikket over kanalerne findes i Windows-hændelseslogs.

Kobling til bruger og drevbogstav

• MountedDevices i SYSTEM-hiven knytter volumen-GUID og drevbogstav til enheden. Drevbogstavet viser kun den seneste tildeling; et bogstav som E: kan være brugt af mange enheder over tid.
• MountPoints2 i brugerens NTUSER.DAT viser, at volumen-GUID’et har været monteret, mens den pågældende bruger var logget ind. Nøglens LastWrite giver en indikation af seneste montering for den bruger.
• LNK-filer og jump lists gemmer drevtype, volumennavn og volumenserienummer for den fil, der blev åbnet.

Kæden bliver dermed: enhedens serienummer, volumen-GUID, drevbogstav på tidspunktet, volumenserienummer i LNK-filen, og brugerens konto via MountPoints2 og LNK-filens placering i profilen. Registreringsdatabasens rolle i denne kobling er beskrevet i Registreringsdatabasen i en undersøgelse.

Telefoner og andre enheder

Telefoner tilsluttes ofte som medieenheder via MTP frem for som lagerenheder. De registreres så under Windows’ bærbare enheder med andre nøgler og uden drevbogstav, og filoverførsler efterlader andre og færre spor. Eksterne diske via USB-C, Thunderbolt eller kortlæsere kan registreres anderledes end almindelige USB-nøgler. Det skal afklares, hvilken enhedstype der er tale om, før fravær af spor tolkes.

Sådan bygges tidslinjen

1. Udtræk alle USB-lagerenheder med producent, model og serienummer.
2. Find første installation i setupapi-loggen, og konvertér til UTC med computerens tidszone.
3. Find seneste tilslutning og frakobling i enhedens egenskaber.
4. Tilføj alle tilslutninger fra hændelseslogs for at få forløbet mellem første og seneste.
5. Kobl volumen-GUID, drevbogstav og volumenserienummer, og find LNK-filer, jump lists og shellbags, der peger på samme volumen.
6. Kobl til brugeren via MountPoints2 og logonsessioner.

Resultatet indgår i den samlede tidslinje; se Tidslinjeanalyse.

Når selve enheden er sikret

Kan USB-drevet fremskaffes, styrkes tidslinjen betydeligt. Drevet sikres med en skrivebeskytter, så hverken tidsstempler eller filsystem ændres ved tilslutningen til analysemaskinen. Derefter kan serienummeret aflæses og sammenholdes med computerens registreringer, volumenserienummeret i filsystemet kan sammenlignes med LNK-filerne, og filerne på drevet kan hashes og sammenlignes med filerne på computeren eller serveren.

Filsystemet på drevet har også egne tidsstempler. På FAT- og exFAT-formaterede drev er de gemt i lokal tid, ofte med lav opløsning, og de afspejler tidszonen på den computer, der skrev filen. En fil, der er kopieret til drevet, kan have en oprettelsestid på drevet, der svarer til kopieringstidspunktet, mens ændringstiden er bevaret fra kilden. Det kan sammen med computerens spor indsnævre tidspunktet for kopieringen, men adfærden afhænger af kopieringsmetoden og skal afprøves, hvis den er afgørende.

Flere computere

Har enheden været tilsluttet flere computere i virksomheden, kan hver computer bidrage med sin egen del af tidslinjen. Sammenholdes registreringerne, kan forløbet ofte følges fra én arbejdsplads til en anden. Det kræver, at enheden har et unikt serienummer, og at alle computeres ure og tidszoner er kendt. Centralt indsamlede logs fra en EDR- eller enhedsstyringsløsning kan give samme overblik hurtigere og uafhængigt af den enkelte computer.

Fejlkilder

• Tidsstempler fra setupapi-loggen tolkes som UTC, selvom de er lokal tid.
• Et drevbogstav tolkes som én bestemt enhed, selvom bogstavet er genbrugt.
• Windows-genererede id’er bruges til at genkende en enhed på tværs af computere.
• Antivirus, backupprogrammer eller indeksering, der automatisk læser et tilsluttet drev, forveksles med brugerens handlinger.
• Nulstilling eller oprydning i registreringsdatabasen fjerner enhedsposter, mens hændelseslogs og setupapi-loggen kan bevare dem.

Hvad tidslinjen kan og ikke kan bevise

USB-tidslinjen kan vise, at en bestemt enhed var tilsluttet på bestemte tidspunkter, mens en bestemt konto var logget ind, og at filer blev åbnet fra den. Den viser ikke, hvilke filer der blev kopieret til enheden. Det kan kun belyses af åbningsspor kombineret med selve enheden, hvis den kan sikres og undersøges; se USB-nøgler, SD-kort og flashmedier. Om virksomheden havde USB-logning slået til, og hvordan en politik bør se ud, er beskrevet i USB-nøgler: logning og en enkel politik.

Dokumentation

Angiv for hver enhed: producent, model, serienummer og om det er unikt, første installation, alle registrerede tilslutninger og frakoblinger med kilde og tidszone, volumen-GUID, drevbogstav, volumenserienummer og tilknyttet bruger. Præsentér gerne tidslinjen i en tabel med én række pr. hændelse og en kolonne for kilden, så læseren kan se, hvilke tidspunkter der er registreret direkte, og hvilke der er udledt. Beskriv også de kilder, der blev undersøgt uden fund, fx kanaler, der ikke var slået til.

Kilder og versioner

• Microsoft Learn: SetupAPI text logs
• Microsoft Learn: Format of a text log section header (lokal tid)
• Microsoft Learn: DEVPKEY_Device_FirstInstallDate

Senest gennemgået: oktober 2026.

Næste skridt

• Opstart, nedlukning, lås og dvale: Windows-events
• Windows audit policy: de indstillinger en undersøgelse har brug for

Del af: Windows-forensik

Læs også: Volume Shadow Copies: tidligere versioner som bevis · SRUM: netværks- og programforbrug pr. bruger

→ Forensisk undersøgelse af en computer · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT