仅知道某台终端“插过 U 盘”，通常还不足以支撑完整审计。在很多场景中，管理员更关心的是员工具体拷贝了哪些文件到 U 盘、又从 U 盘拷回了哪些文件到电脑。通过 Ping32 的 移动存储操作 记录，管理员可以进一步查看文件级别的 U 盘拷贝情况，提升排查精度。

要查看客户端电脑拷贝了哪些文件到 U 盘，需要先开启 U 盘审计 功能。开启方式可参考：如何掌握终端U盘接入与使用情况。

查看方式

1. 进入 设备管理 模块，点击 移动存储使用，可查看 U 盘的拔插记录。

2. 点击 移动存储操作，可查看：

• 客户端电脑移动/拷贝了哪些文件到 U 盘
• 从 U 盘移动/拷贝了哪些文件到电脑上

在查看记录时，建议管理员重点关注文件名称、操作方向、终端名称、发生时间以及是否集中出现在异常时间段。如果某台终端在短时间内向 U 盘连续拷贝大量业务文件，通常值得进一步结合岗位职责和审批情况做复核。

使用建议

• 建议将 移动存储使用 与 移动存储操作 结合查看，先确认设备接入情况，再查看文件层面的具体动作。
• 对可疑记录，可进一步结合 文件安全、告警 或其他审计记录交叉分析，避免仅凭单条拷贝记录做判断。
• 若企业希望从源头减少 U 盘拷贝风险，可在掌握使用规律后，进一步启用 权限设置、审批或授权盘策略。