Windows 11可通过事件查看器（事件ID 2003/2100等）、USBSTOR注册表项（含厂商、型号、序列号及修改时间）、设备管理器（硬件ID识别）及启用DriverFrameworks-UserMode日志四种原生方式追溯USB连接历史。
如果您希望在Windows 11系统中追溯近期连接过的USB设备，但未部署第三方监控工具，则系统本身保留了多处隐式记录痕迹。这些记录分散于事件日志、注册表和设备管理器中，无需额外安装软件即可提取。以下是获取USB设备连接历史的具体方法：
一、通过事件查看器筛选USB插拔日志
Windows系统在USB设备接入或移除时会自动生成事件日志，其中包含精确时间戳与硬件标识符。该日志默认启用，但需手动筛选特定事件ID才能定位USB行为。
1、按下 Win + R 组合键，输入 eventvwr.msc 并回车，打开事件查看器。
2、在左侧导航栏中依次展开 Windows日志 → 系统。
3、在右侧操作面板点击 筛选当前日志。
4、在“包括事件ID”框中输入：2003, 2004, 2010, 2100, 2101，点击确定。
5、筛选结果中，事件ID为 2003 表示设备已连接，2100 表示设备已安全移除，时间列即为实际操作时刻。
二、检查USBSTOR注册表项中的设备存档
Windows在首次识别USB存储设备时，会在注册表中创建永久性条目，即使设备已物理移除，其制造商、型号及序列号仍保留在USBSTOR分支下，是追溯历史连接最可靠的离线依据。
1、按 Win + R，输入 regedit 并回车，启动注册表编辑器。
2、在地址栏粘贴完整路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR，按回车跳转。
3、展开该路径下的所有子项，每个文件夹名以 Disk&Ven_ 开头，其后字符串含厂商缩写（Ven）、产品名（Prod）与序列号（Ser）。
4、逐一点开子项，在右侧窗格查找名为 FriendlyName 的字符串值，其数据即为可读设备名称，例如 SanDisk Ultra Fit USB 3.0。
5、若需确认连接时间，可右键点击子项 → 属性 → 查看 修改时间，该时间通常对应最后一次连接时刻。
三、使用设备管理器查看当前枚举设备列表
设备管理器保存了系统最近一次启动后所检测到的所有USB设备实例，虽不显示历史断连记录，但能反映设备是否曾被成功识别并完成驱动加载，适用于验证设备兼容性与基础通信状态。
1、右键点击“开始”按钮，选择 设备管理器。
2、展开 通用串行总线控制器 类别。
3、查找名称中含 USB Root Hub 或 USB Composite Device 的条目，右键点击任一项目，选择 属性。
4、切换至 详细信息 选项卡，在“属性”下拉菜单中选择 硬件ID。
5、在值栏中查看类似 USB\VID_0781&PID_5581 的字符串，其中VID为厂商ID，PID为产品ID，可用于反查设备型号。
四、启用DriverFrameworks-UserMode操作日志获取实时追踪
该日志通道专用于记录用户模式驱动框架下的设备即插即用事件，包含更细粒度的USB设备活动，但需手动启用，适用于需要持续监控新接入设备的场景。
1、打开事件查看器，导航至：应用程序和服务日志 → Microsoft → Windows → DriverFrameworks-UserMode → Operational。
2、右键点击 Operational，选择 属性。
3、勾选 启用日志，点击应用并确定。
4、重启电脑后，再次进入该日志路径，查看新生成的事件，重点关注事件ID为 2003（设备连接）与 2004（设备断开）的条目。
5、双击任一事件，在“详细信息”选项卡中切换至 XML视图，查找 DeviceInstanceID 字段，其值可与USBSTOR注册表项交叉比对。
