analyzing-usb-device-connection-history
作者 mukul975analyzing-usb-device-connection-history 可帮助在 Windows 上结合注册表 hive、事件日志和 setupapi.dev.log 调查 USB 设备连接历史，适用于数字取证、内部威胁排查和事件响应。它支持时间线重建、设备关联以及可移动介质证据分析。
此技能得分 84/100，说明它很适合用于 Windows USB 取证的目录收录。仓库提供了足够真实的工作流细节和可由代码支撑的参考信息，因此代理在触发时比泛化提示更不容易走偏；不过，在打包和端到端执行方面，用户仍可能需要自行补足一些落地细节。
- USB 数据外传、内部威胁和合规调查等取证场景清晰，触发条件明确。
- 实操内容较充实：包含较长的 SKILL.md 工作流，以及 registry/event-log/setupapi 相关参考和配套的 Python agent 脚本。
- SYSTEM、SOFTWARE、NTUSER.DAT 和 Windows 事件日志都有具体的 artifact 路径与解析示例，便于 agent 有效利用。
- SKILL.md 中没有安装命令，用户可能需要自行摸索安装步骤和依赖。
- 证据收集和解析方面的信息比较扎实，但可见片段存在一定截断，关于校验、边界情况或报告输出的指导也相对有限。
analyzing-usb-device-connection-history 技能概览
analyzing-usb-device-connection-history 技能可以帮助你在 Windows 系统上，结合注册表 hive、事件日志和 setupapi.dev.log，调查 USB 设备连接历史。它最适合数字取证、内部威胁调查和事件响应，尤其是在你需要回答一个简单却关键的问题时：哪些可移动介质被连接过、何时连接、以及是在什么机器或用户上下文中连接的。
这个 analyzing-usb-device-connection-history 技能的用途
这个 analyzing-usb-device-connection-history 技能专门用于从 SYSTEM、SOFTWARE、NTUSER.DAT 和 Windows 事件日志等工件中重建设备时间线。它最有价值的场景不是泛泛地说一句“USB 被使用过”，而是需要拿出可用于举证的细节。
最适合的使用场景
当你在追查可能的数据外传、核查可移动介质策略违规、关联设备插入行为与用户活动，或者构建案件时间线时，使用它最合适。如果你的目标是文件恢复、恶意软件清除，或者一般性的 Windows 初筛，这个技能大概率不是正确工具。
它和普通提示词的区别
和普通提示词相比，这个技能提供的是一套聚焦的取证工作流和工件地图：该看哪里、哪些注册表路径重要、以及如何把来源文件关联成时间线。这样可以减少猜测，避免漏掉真实案件里最关键的 USB 证据来源。
如何使用 analyzing-usb-device-connection-history 技能
先安装这个技能
使用仓库安装流程执行 analyzing-usb-device-connection-history install 步骤，例如：
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill analyzing-usb-device-connection-history
安装后，在依赖它进行案件流程之前，先确认技能文件已经在你的环境中可见且可读。
按这个顺序阅读这些文件
先看 SKILL.md，再查 references/api-reference.md，最后读 scripts/agent.py。这个顺序能告诉你预期工作流、工件目标，以及实现层面的假设。如果只粗略看其中一个文件，你会错过诸如活动 ControlSet 的解析方式、以及设备实例如何被解析这类重要上下文。
给技能提供可用的证据
想要把 analyzing-usb-device-connection-history 用好，输入要尽量具体：
- Windows 版本或预期的主机角色
- 你手头有哪些工件：注册表 hive、EVTX 文件，还是
setupapi.dev.log - 调查目标：数据外传、策略合规，还是设备时间线
- 已知的设备线索：厂商、产品、序列号、盘符或日期范围
像“analyze USB history”这样弱化的提示词太笼统了。更强的提示词可以是：“Analyze SYSTEM, NTUSER.DAT, and System.evtx from workstation WS-14 to identify all USB storage connections from 2024-05-01 to 2024-05-14 and correlate them to drive-letter mappings.”
按工件所支持的工作流来做
这个技能最适合被当作一项关联分析任务：先识别活动的 ControlSet，再从 Enum\\USBSTOR 和 MountedDevices 中提取 USB 标识符，最后用事件日志和 setupapi.dev.log 进行佐证。这个顺序很重要，因为注册表数据通常能告诉你设备清单，而日志则有助于缩小时间点和使用上下文。
analyzing-usb-device-connection-history 技能 FAQ
这个 analyzing-usb-device-connection-history 只适合数字取证吗？
不完全是，但 analyzing-usb-device-connection-history for Digital Forensics 确实是最清晰的匹配场景。它同样适用于事件响应、内部威胁审查，以及与可移动介质历史相关的合规审计。
如果我会自己写提示词，还需要这个技能吗？
如果你已经熟悉 Windows 工件路径和解析顺序，自定义提示词可能就够了。这个技能更适合那些想要一个可重复的 analyzing-usb-device-connection-history guide，以减少漏掉工件并让工作流始终锚定在取证证据上的场景。
这个技能的主要边界是什么？
这个技能不能替代完整的终端初筛，也不会“自动恢复”缺失的日志。如果注册表 hive 不在了、日志被清空了，或者磁盘镜像不完整，那么输出能力就会受到这些缺口限制。
适合新手吗？
适合，前提是你能提供源工件。对于 Windows 工件分析来说，它对新手比较友好，但它仍然默认你理解 USB 历史可能来自多个位置，很多时候需要做关联分析，而不是只查一个文件就下结论。
如何改进 analyzing-usb-device-connection-history 技能
提供更干净的输入
质量提升最大的地方，往往就是输入材料更好。与其说“所有 USB 相关内容”，不如给出精确的工件名称、采集时间戳和案件范围。如果有多台机器，按主机和时间窗口分开提供，避免分析把不同时间线混在一起。
要求做关联分析，而不只是提取
这个技能在你要求它给出取证结论时最强，而不是只输出原始工件清单。例如：“Identify each USB storage device, map it to user activity if possible, and note first-seen, last-seen, and any drive-letter assignments.” 这会比只让它列出键值，得到更有用的 analyzing-usb-device-connection-history usage 结果。
留意常见失效模式
常见的薄弱输出，通常来自漏掉活动 ControlSet、把按用户保存的历史和系统级历史混为一谈，或者把单一工件当作唯一依据。想提升结果，就要让它给出置信度、逐来源说明，以及在证据不完整时明确写出限制性说明。
第一轮之后继续迭代
如果第一次结果太宽泛，就用更有针对性的后续提示词继续收敛：要求按设备生成时间线、按用户视角重排，或者针对某个特定外传窗口做关联分析。这是提升 analyzing-usb-device-connection-history skill 输出质量、又不用重跑整起案件的最佳方式。