Логирование подключения и отключение флешек уже встроенно в Windows, но не включено по умолчанию. Для активации записи логов необходимо включить журнал DriverFrameworks-UserMode. Это можно сделать через оснастку просмотр событий, команда для запуска eventvwr.msc. Расположен журнал в разделе журналы приложений и служб. После включения и получения первых событий, будем скриптом на Powershell получать необходимую информацию.