终端侧的检测能力，很多时候不取决于"抓到了什么"，而取决于"记下了什么"。
物理外带这类行为有个特点：它不产生网络流量，也几乎没有可用的内容特征，检测手段基本只剩日志分析。因此日志字段设计得好不好，直接决定了事后能不能还原一次拷贝。
这篇按检测与溯源的视角，把外设相关日志拆开看：每类日志记了什么、能回答什么问题、单独看有什么局限、三类日志怎么联合起来用。
一、检测对象：一次外带包含三个动作
从检测角度看，一次完整的外带会留三处痕迹：
| 动作 | 痕迹形态 | 对应日志 |
|---|---|---|
| 介质接入 | 设备插拔事件 | U 盘使用日志 |
| 数据写入 | 文件级操作 | USB 文件操作日志 |
| 光盘外带 | 刻录任务 | 刻录操作日志 |
三处痕迹的价值不同。接入事件最全，但不等于发生了拷贝；文件操作最能说明外带内容，但只在开启相应审计时才有；刻录是独立通道，容易被忽视，一旦发生往往是整包资料。
检测思路由此确定：用接入事件做"面"，用文件操作做"点"，用刻录做"补充通道"。
二、U 盘使用日志：把"面"铺全
这类日志记录的是插拔动作，字段组成大致如下：
| 字段 | 说明 | 检测价值 |
|---|---|---|
| 客户端 | 终端标识 | 定位机器、按部门聚合 |
| 用户、所属部门 | 使用者与组织归属 | 按人、按部门做基线 |
| 挂载点 | 盘符 | 辅助定位，稳定性一般 |
| 卷标 | 设备显示名称 | 识别 PE 盘、量产盘的关键 |
| 容量 | 介质大小 | 判断是否具备大批量外带条件 |
| 标识、序列号 | 介质唯一标识 | 跨终端追踪同一只盘 |
| USB 实例、磁盘驱动器实例 | 设备枚举信息 | 设备类型识别 |
| 昵称、描述 | 管理端配置信息 | 识别是否为白名单设备 |
| 动作 | 允许使用、禁止使用 | 区分"拦住"与"放过" |
| 审计时间 | 事件时间 | 时间窗分析 |
图 1 插拔审计的完整字段，卷标、容量、序列号、动作四列是检测里最常用的
单独使用这类日志，能做出几条成本很低、误报也很低的检测规则：
- 同一终端在单位时间内插入外盘次数超阈值；
- 卷标命中已知维护盘特征（各类 PE 启动盘、量产工具盘），这类盘出现即代表异常意图；
- 介质容量明显超出业务需要（例如插入一块 1T 移动硬盘用于"看资料"）；
- 同一序列号在短期内横跨多台终端，属于介质流转异常；
- 动作字段为"禁止使用"但同一介质反复重试，属于对抗行为。
局限也很明确：插拔记录只能证明"介质来过"，不能证明"文件被写过"。要证明后者，必须靠第二类日志。
三、USB 文件操作日志：把"点"落细
这类日志记录文件级动作，字段组成如下：
| 字段 | 说明 | 检测价值 |
|---|---|---|
| 操作 | 复制、移动、打开、修改 | 区分"读取"与"外带"，复制与移动是关键 |
| 源路径 | 文件原始位置 | 判断是否涉及敏感目录 |
| 目的路径 | 文件落点 | 确认是否写到移动介质 |
| U 盘标识、序列号 | 关联介质 | 与第一类日志对齐 |
| USB 实例、磁盘驱动器实例 | 设备枚举信息 | 辅助确认设备类型 |
| 文件大小 | 单文件体积 | 识别批量外带 |
| 附件 | 可查看文件副本 | 事后内容核查 |
| 审计时间 | 事件时间 | 与插入时间窗比对 |
图 2 操作类型加源路径、目的路径，是溯源时最有价值的三列
这份日志最有价值的不是"操作"这一列，而是源路径与目的路径成对出现。它天然回答了追溯里最难的两个问题：文件从哪来、到哪去。一条复制记录，源路径在内部目录、目的路径在移动介质，这就是一次完整的外带证据。
由此可以设计的检测规则：
- 目的路径包含移动介质、且单文件超过阈值；
- 同一时间窗内复制文件数量或总体积超阈值（批量打包特征）；
- 源路径命中敏感目录集合（研发图纸库、财务共享盘等）；
- 操作类型为"移动"（意味着源文件消失，比复制更值得关注）。
"附件"字段是个容易被忽略的点。它保留文件副本，使得事后核查不必再回原终端取文件——对于已经离职或设备重装的场景，这个字段往往是唯一证据。
四、刻录操作日志：补上第三条通道
光盘这条线在大多数企业的日志体系里是空白。它的字段比较简单：文件名、类型（文件或目录）、文件大小、附件、审计时间，配合客户端、用户、所属部门。
图 3 刻录记录：文件名与类型（文件或目录）能区分"整目录打包"和"单文件带走"
检测价值在于两个字段。类型为"目录"时，通常意味着整包刻录，一次可能带走整个项目文档；文件大小则能快速筛出异常体积。刻录频次本身也值得做基线——正常企业一年可能刻不了几张盘，一旦出现就是异常。
五、三类日志的联合分析
单看任何一类都有盲区，联合起来才形成证据链。典型分析路径是三步：
第一步，在 U 盘使用日志里定位时间窗。以某个用户、某台终端为目标，取出一段时间内的全部插拔记录，特别是动作为"允许使用"的那些。
第二步，在 USB 文件操作日志里落点。用上一步的时间窗做过滤，按操作类型筛出复制与移动，看目的路径是否落在该介质上。
第三步，用刻录日志排除光盘路径。如果前两步都没有命中，但数据确实流出去了，重点看刻录记录，再排查屏幕拍照、网络外传等其他通道。
反过来，日常运营也可以做成固定报表：按部门统计外盘接入次数、按用户统计复制文件总量、按介质序列号统计流转范围。三张表放在一起，异常部门会自己浮出来。
六、检测能力的边界
这类日志分析有三个明确盲区，需要提前说清：
离线启动。用 PE 盘从外部启动，操作系统层不加载，终端审计不产生任何记录。检测层无解，必须靠 BIOS 层禁止外部启动。
文件在介质内的二次流转。日志只记录"从终端到介质"这一段，介质离开终端之后被谁取走、拷到哪台机器，终端侧不可见。
内容级判断。日志能给出路径、大小、时间，但不做内容判定。要判断"这份文件是否涉密"，需与敏感文件识别、文档密级标记联动。
所以一套完整的检测体系通常是：终端侧记外设行为，内容侧记敏感文件流转，网络侧记外发行为，三者的时间线在同一个平台上对齐。任一侧缺失，追溯就会断在中间。
最后
对外带行为做检测，核心不是加多少规则，而是保证三件事：介质能被唯一识别（序列号）、动作能被完整记录（源路径与目的路径）、三条通道都被覆盖（U 盘、移动设备、光盘）。
满足这三点的日志体系，事后复盘的工作量通常从几天降到几小时。判断标准也很简单：给定一个具体时间和一台终端，能不能在几分钟内列出这段时间里所有被写到外部介质的文件清单。能，检测能力就是有效的。
本文讨论的三类日志并不绑定某一款产品，选型时抓住三个字段即可：设备序列号（介质能否被唯一识别）、目的路径（文件是否真的写出去）、刻录文件名（光盘通道是否有记录）。这三项齐全，事后复盘才有可用的证据链。
