USBの接続履歴はどう調べる？　確認のメリットと内部不正対策を解説

パソコンのログから確認する

USBメモリの接続履歴は、パソコン上に残されたログ情報から確認できます。ログとは、システムの動作や操作の記録のことで、USB機器が接続された日時や種類などの情報も含まれています。

Windowsパソコンでは、「イベントビューアー」や「レジストリ」といったシステム管理用のツールを使うことで、USBメモリの接続履歴を調べることが可能です。ただし注意が必要なのは、Windows 11の初期設定では、USB接続の履歴が記録されない点です。事前にログを保存するように設定しておく必要があり、この設定がないと接続履歴は確認できません。また、ログを保存できる容量もデフォルトでは限られています。上限を超えると古いログは削除されていくため、長期間保存したい場合は保存するログの容量を変更する設定が必要です。

このパソコンのログから接続履歴を確認する方法は、無料で実行可能です。ただし、設定や確認には一定程度の知識が求められます。

併せて読みたい

• ログ管理とは？　メリット・デメリット、管理システムの機能を解説

専用ツールで確認する

USBメモリの接続履歴を簡単かつ確実に管理したい場合は、専用のログ監視ツールを導入する方法があります。専用ツールであれば、自動的にUSBデバイスの接続履歴を記録・監視し、パソコンの設定画面から行うよりも簡単な操作で接続履歴を確認できます。

専用ツールを使うメリットは、USBメモリの接続履歴だけでなく、パソコンの操作履歴やアクセス状況などもまとめて把握できる点です。また、特定のUSB機器が接続された際にアラート通知を出したり、セキュリティポリシーに反する操作をブロックしたりするような設定も可能です。さらに、使用状況のレポートを出力できるツールであれば、管理者による定期的な監査にも活用できます。

一方で、専用ツールの導入には追加コストが発生し、初期設定の際には専門知識も必要です。設定が不適切なまま運用すると誤検知や不審な操作の見落としにつながる恐れもあるため、信頼できるベンダーの製品を選び、必要に応じて導入支援を受けることが重要です。

専用ツールは、社内全体のUSBメモリの管理体制を強化したい企業や、正確な証跡管理を必要とする企業に適した方法といえるでしょう。

フォレンジック調査の専門業者に依頼する

USBメモリの接続履歴を、法的にも有効な証拠として正確に残したい場合や、すでに情報漏洩などのインシデントが発生している場合には、フォレンジック調査の専門業者へ依頼するのが有効な方法です。

フォレンジック調査とは、パソコンやサーバーなどに残されたログやファイルの痕跡を専門技術で解析し、不正行為の有無や経路、被害の範囲などを明らかにする調査手法です。USBメモリの接続履歴はもちろん、削除・改ざんされたファイルの復元、操作をした者・操作内容などの詳細な記録も調査対象になります。

調査結果は、報告書としてまとめられ、必要に応じて法的手続きの証拠資料としても活用可能です。パソコンの設定画面などから確認できるログ情報は削除したり改ざんしたりすることができるため、正確な証跡にはなりません。そのため、社内での不正アクセスや情報漏洩などが発生して、警察への資料提供や訴訟での証拠提出が必要となるケースでは、信頼性を担保するための専門業者の調査が欠かせません。

また、フォレンジック調査では、不正の証跡を明らかにするだけでなく、ウイルス感染の原因調査や再発防止策の提案にも対応してもらえる場合があります。高度な専門知識と専用ツールによる調査で、社内調査では把握しきれないリスクの洗い出しにも役立ちます。

コストはかかりますが、重大なインシデント発生時などには、企業の信頼を守るための重要な手段といえるでしょう。

内部不正を迅速に発見できる

USBメモリの接続履歴を定期的に確認することで、内部不正の早期発見が可能になる点はメリットといえます。USB機器は機密情報や個人情報を外部に持ち出す手段としてよく使われるため、その接続ログを監視することで不審な行動の兆候を捉えやすくなります。

例えば、深夜や休日など通常業務時間外にUSBメモリが接続されていた場合、その記録が不正行為を疑うきっかけになるケースもあるでしょう。履歴をチェックすることで、不正な操作が行われた可能性を迅速に把握でき、早期対応につなげることが可能です。

また、USBメモリの接続履歴を定期的に確認していることを社内に周知しておけば、抑止効果も期待できます。

内部不正の証跡の確保につながることがある

USBメモリの接続履歴を確認すると、内部不正の証跡の確保につながる場合がある点も、接続履歴確認のメリットの1つです。不正なデータ持ち出しや機密情報の漏洩が疑われるケースで、USBメモリの接続履歴を調べることで、内部不正者の特定や持ち出された日時、データの内容といった情報を把握できることもあります。

例えば、社内で使用を許可されていないUSBメモリが特定の端末に接続された履歴が残っていれば、その端末の使用者に焦点を当てて調査を進めることができます。USBメモリの接続履歴をきっかけに、実際のファイル操作ログやメールの送受信記録などを調査すれば、懲戒処分や法的手続きに必要な強力な証跡を確保できる可能性があります。

内部不正の兆候は、一見しただけでは気付きづらいこともあるため、日常的な接続履歴の確認が将来的なトラブル防止につながります。

ウイルス感染の原因を確認できることがある

USBメモリの接続履歴を記録・確認しておくことは、ウイルス感染の原因を特定する上でも役立ちます。

ウイルスの感染経路としては、不審なメールやWebサイトの閲覧に加えて、USBメモリによる持ち込みも少なくありません。例えば、ある端末でウイルス感染が発覚した際に、直前に接続されたUSBメモリの履歴を確認することで、感染源となったデバイスを突き止められる可能性があります。

さらに、そのUSBメモリが他の端末でも使用されていた場合、感染拡大のリスクも明らかになり、迅速に隔離などの初動対応ができるようになります。接続履歴のチェック体制を整えておくことで、ウイルス感染時の被害を最小限に抑える体制の構築にもつながるのです。

感染原因を正確に把握できれば、再発防止のための具体的な対策も打ちやすくなります。接続履歴の管理は、セキュリティ対策の第一歩として欠かせません。

セキュリティ上のルールが守られているかを確認できる

USBメモリの接続履歴を確認することで、社内で定めたセキュリティルールが適切に運用されているかを検証することができる点も、メリットといえます。「社内で許可されたUSBメモリ以外は使用禁止」といったルールがある場合、実際にそのポリシーが守られているかを接続履歴から確認可能です。

これによって、許可されていないUSBメモリが接続されていた履歴が残っていれば、即座にルール違反として対応することができ、再発防止のための指導やシステム面での強化も検討できます。反対に、ルールが守られていることを確認できれば、運用体制がうまく機能している証拠ともなり、社内の信頼性向上にもつながります。

人の目で監視するのが難しい場面でも、システムに記録された履歴を確認することで、客観的な証跡を基にした判断が可能です。

1.ログの保存を有効にする方法

USBメモリの接続履歴をWindowsで確認するには、最初にイベントビューアーでログの保存を有効化する設定が必要です。以下の手順で設定を行いましょう。

ログの保存を有効にするための手順

1. 「Windowsキー＋R」で「ファイル名を指定して実行」を開き、「eventvwr」と入力してイベントビューアーを起動
2. 左側のメニューで「アプリケーションとサービスログ」「Microsoft」「Windows」「DriverFrameworks-UserMode」「Operational」の順に選択
3. 右側の「操作」内の「ログの有効化」をクリック

この操作によって、USBメモリの接続などのイベントが記録されるようになります。なお、この設定は一度有効化すれば継続してログが記録されるようになりますが、パソコンを初期化した場合などには再設定が必要になる場合があります。

2.ログを確認する方法

イベントビューアーでUSBメモリの接続ログの保存を有効にした後は、実際にログを確認して接続履歴を把握することができます。以下の手順で、USBメモリの接続情報をチェックしましょう。

ログを確認するための手順

1. 「Windowsキー＋R」で「ファイル名を指定して実行」を開き、「eventvwr」と入力してイベントビューアーを起動
2. 左側のメニューで「アプリケーションとサービスログ」「Microsoft」「Windows」「DriverFrameworks-UserMode」「Operational」の順に選択
3. 中央の上部に表示されているログ一覧から、デバイスの接続を意味する「2003」のイベントIDを探して選択

該当のログをダブルクリックすると、USBメモリの接続日時、ユーザー情報などを確認できます。これらの情報を基に、不審なデバイスの接続がないか、ルールに違反した操作がなかったかをチェックできます。

データへのアクセス権限の管理

内部不正を防ぐには、機密情報へのアクセス権限を厳密に管理することが重要です。従業員ごとに、業務に必要な範囲でのみ情報へのアクセスを許可し、業務に不要な情報の閲覧・操作を制限します。これにより、内部不正を試みる者が重要な情報にアクセスするリスクを軽減できます。

併せて読みたい

• アクセス制御とは？　機能や方式、制御システム導入時の考え方を解説

私用機器やアカウントの使用制限

業務データを取り扱う際は企業が貸与した端末のみを従業員に使用させ、私物のパソコンやUSBメモリの使用を禁止することも、内部不正の防止に有効です。また、メールやチャットツールについても私用アカウントでのやりとりを禁止し、業務用アカウントに限定することで、監査や証跡の把握が容易になります。

併せて読みたい

• シャドーITとは？　発生する原因やリスク・対策についてわかりやすく解説