¿Cómo detectar si los archivos se guardaron o copiaron desde un disco duro externo / USB?

La lectura del archivo lo está copiando en la memoria activa.

Una vez que el archivo está en la memoria activa, no puedes controlar lo que sucede a continuación.

Hay plataformas especiales que realizan DRM (Digital Rights Management) que pueden hacer que sea mucho más complejo para las personas tomar copias de su archivo. Snapchat tiene algunos controles como este, al igual que el lector Kindle. Se requieren cifrado, protocolos propietarios y control sobre el software y / o hardware.

Hay servicios en línea como enlace que también hacen algo como esto, no por USB, por supuesto.

Este tipo de control solo es efectivo para que las personas honestas sean honestas. Incluso si no han pirateado el software o tienen una elusión técnica, una persona motivada siempre podría fotografiar el documento desde la pantalla.

Vea las medidas tomadas en el TTIP como ejemplo de alguien que intenta resolver este problema: enlace

  

"En el sótano del capitolio de los EE. UU., hay una sala, una sala cerrada e insonorizada, y las únicas personas permitidas en esta sala son los senadores de los EE. UU. , ni siquiera pueden tomar notas allí ".

Forensics estocástica intenta detectar el copiado masivo de datos utilizando estadísticas. En resumen, la idea es que los metadatos de acceso a archivos contengan patrones. Si se copian datos en masa, los metadatos registrarán la transferencia en masa como distinta de los patrones típicos de acceso a archivos. Una vez que se predice una transferencia de datos a granel utilizando estadísticas, otros análisis forenses ayudan a descubrir el destino de la transferencia de datos.