[发明专利]一种USB设备使用记录恢复检查方法

权利要求书

1.一种USB设备使用记录恢复检查方法，其步骤包括：

1)对格式化后的硬盘进行扫描，获取硬盘中注册表相关的SYSTEM文件；

2)从SYSTEM文件中提取USB使用记录，并对其进行解析；

3)对解析的USB使用记录进行验证，将其与系统日志中的USB使用记录进行比对，若一致则记录，否则进入步骤4)；

4)分析并查找SYSTEM文件中被破坏或者缺失的部分，对其进行恢复；

步骤4)使用机器学习的方法对USB使用记录进行恢复，从其他主机获取的SYSTEM文件库中匹配最相似的其他SYSTEM文件，并用其中的部分数据替换本主机的SYSTEM文件中的被破坏或者缺失部分的数据。

2.如权利要求1所述的方法，其特征在于，步骤1)所述获取硬盘中注册表相关的SYSTEM文件，包括获取硬盘中的SYSTEM文件，以及确认所需的SYSTEM文件。

3.如权利要求2所述的方法，其特征在于，步骤1)获取SYSTEM文件的方法是：

a)扫描磁盘头，解析包括磁盘格式、磁盘大小、磁盘分块在内的基本信息；

b)全面扫描磁盘文件，遇到名为SYSTEM的文件则对其路径进行重构，分析其是否为所要查找的系统SYSTEM文件；

c)将找到的SYSTEM文件恢复到临时文件夹中，以备进一步分析。

4.如权利要求1所述的方法，其特征在于，步骤2)从SYSTEM文件中提取USB使用记录的方法是：对文件搜索关键词“#USBSTOR#”，直至遇到结束符‘\0’为止，取出一条USB存储设备记录。

5.如权利要求1所述的方法，其特征在于，步骤2)对USB使用记录进行解析的方法是：通过对USB使用记录中关键标识‘&’或‘#’进行分割，解析出该USB使用记录的设备名称、类型、序列号、首次安装日期，并记录。

6.如权利要求1所述的方法，其特征在于，步骤3)所述与系统日志中的USB使用记录进行比对的方法是：通过对系统日志中的USB使用记录进行解析，获取相关字段信息，之后与步骤2)解析获得的SYSTEM文件中USB使用记录进行关键字段比对。

7.如权利要求1所述的方法，其特征在于，所述机器学习方法是：通过对大量样本信息采用K-means方法进行聚类，之后将待学习的字段与聚类结果进行比较，选择较为接近的结果对被破坏或者缺失的部分进行替换。

8.如权利要求1所述的方法，其特征在于：步骤4)对USB使用记录进行恢复后返回步骤3)进行反复验证，当尝试次数超过一设定阈值时判定无法正确恢复，验证失败。