一种USB设备使用记录恢复检查方法

摘要

本发明涉及一种USB设备使用记录恢复检查方法，在操作系统安装硬盘被快速格式化后，对其USB设备使用记录进行恢复。获取被格式化后的硬盘后，将其插入正常运行的主机中，通过对SYSTEM文件进行恢复，获取其USB使用记录信息；之后，通过与日志进行比对，判定信息的完整性，若一致则进行记录，否则进入恢复阶段；在恢复过程中，通过机器学方法最大化进行使用记录恢复，恢复后再次进行验证，如果经过有效次恢复仍无法进行判定，则退出。利用该方法可以有效对格式化后操作系统相关USB使用历史记录进行恢复与分析，提高安全监管的粒度。

主权项

一种USB设备使用记录恢复检查方法，其步骤包括：1)对格式化后的硬盘进行扫描，获取硬盘中注册表相关的SYSTEM文件；2)从SYSTEM文件中提取USB使用记录，并对其进行解析；3)对解析的USB使用记录进行验证，将其与系统日志中的USB使用记录进行比对，若一致则记录，否则进入步骤4)；4)分析并查找SYSTEM文件中被破坏或者缺失的部分，对其进行恢复。