可通过五种方法查电脑拷贝记录：一、事件查看器筛选ID4663安全事件；二、域智盾审计USB文件操作；三、安企神本地审计USB与文件操作；四、对比文件时间戳变化；五、检查注册表USBSTOR设备连接历史。
如果您发现电脑中某些文件可能被复制或外传，但无法确认具体操作痕迹，则可能是由于系统未启用审计功能或日志未被保留。以下是查看电脑拷贝记录的多种可行方法：
一、使用Windows事件查看器
Windows系统在启用审核策略的前提下，会将文件访问行为记录为安全事件，其中事件ID 4663专门标识对文件或文件夹的访问操作，包括复制、读取等动作。该方法依赖于系统是否已开启对象访问审核。
1、按下Win + R组合键，输入eventvwr.msc并回车，打开事件查看器。
2、在左侧导航栏中，依次展开Windows 日志 → 安全。
3、在右侧操作面板中点击筛选当前日志…，在“事件ID”栏输入4663，点击确定。
4、在筛选结果中，双击任一事件，查看“详细信息”选项卡下的对象名称（即被访问文件路径）、访问请求类型（如ReadData）及登录ID对应的操作账户。
二、启用并查询域智盾软件审计日志
域智盾通过驱动级监控捕获USB设备接入与文件操作全过程，无需依赖系统默认审核策略，可记录源路径、目标路径、文件名、操作时间、设备序列号等完整字段，适用于未预配置审计策略的终端环境。
1、启动域智盾管理端，进入本地审计 → USB文件操作界面。
2、点击右上角筛选按钮，在弹出窗口中设置起止时间、USB设备名称或文件关键字。
3、列表中每条记录包含拷贝时间、源路径、目标路径、操作类型（Copy/Move）、设备型号及序列号。
4、双击某条记录，可查看该次操作的完整上下文，包括触发进程名称（如explorer.exe或cmd.exe）及操作用户SID。
三、检查安企神软件本地审计数据
安企神提供独立于Windows安全日志的审计机制，其USB存储使用模块和文件操作模块分别记录设备连接行为与具体文件动作，支持毫秒级时间戳与多维度检索，适合快速定位异常拷贝时段。
1、打开安企神客户端，点击主界面上方的本地审计标签页。
2、选择子菜单中的USB存储使用，确认U盘插入/拔出时间是否与可疑操作时段吻合。
3、切换至文件操作子菜单，勾选操作类型为“复制”，并设定时间范围进行筛选。
4、在结果列表中识别目标路径含可移动驱动器符号（如E:\、F:\）的记录，该类条目即为U盘拷贝行为的直接证据。
四、分析文件属性时间戳变化
当文件被复制时，若目标位置为NTFS格式卷且未禁用最后访问时间更新，系统可能修改目标文件的“创建时间”与“修改时间”，而原始文件的“访问时间”也可能被更新。该方法虽不具实时性，但无需额外工具即可实施初步判断。
1、在文件资源管理器中，右键点击待查文件，选择属性 → 详细信息选项卡。
2、记录三项关键时间：创建日期、修改日期、访问日期。
3、将该文件与同名副本（如U盘中存在）对比：若副本的创建日期接近您怀疑的拷贝时间点，且原始文件的访问日期同步更新，则高度提示发生过复制操作。
4、注意：Windows 10/11默认禁用访问时间更新以提升性能，需通过命令fsutil behavior set disablelastaccess 0启用后才可依赖此项。
五、调取注册表中USB设备连接历史
Windows在注册表中持久化保存所有曾接入本机的USB存储设备信息，包括设备实例ID、首次/最后连接时间、制造商与产品标识符。虽然不记录具体文件操作，但可验证某U盘是否曾在特定时段接入，为交叉印证提供设备级依据。
1、按下Win + R，输入regedit并回车，以管理员身份运行注册表编辑器。
2、导航至路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR。
3、逐个展开子项（每个子项代表一个不同型号的USB设备），查看右侧窗格中的FirstInstallDate与LastArrival数值数据。
4、双击任一时间值，记下其十六进制表示，转换为UTC时间后比对本地时区，确认该设备是否在可疑时间段内出现过LastArrival时间戳。
