需要厘清的问题
核查指定文件是否转移至提交的U盘，对照设备标识和文件痕迹，区分已确认访问事件与复制推测。
应准备的材料
- 附校验值的系统盘和U盘逐位镜像
- 争议文件清单、原版本及校验值
- 设备连接日志、文件系统记录及留存快捷方式
需要比对的内容
使用工作副本，记录工具与完整性检查。考虑文件系统特性，对照序列标识、路径、文件内容和时间戳。快捷方式及最近文件列表作为访问痕迹单独分析；按内容核实匹配文件，并考虑其他可能来源。
分析可能取得的结果
可形成技术事件时间线及逐文件证据表；多种痕迹可能支持转移，也可能因资料不全无法解决问题。
结论的边界
设备连接不证明复制，账户记录不证明具体人员。无痕迹不排除转移，事后使用可能改变或删除记录。