Wie öffnet man das Monitoring des Dienste-Audits?

Öffnen Sie die Ansicht über das Anwendungsmenü: Menu -> Monitoring -> Audit - Dienste. Diese Seite beschreibt einen täglichen Snapshot der auf Computern gespeicherten Windows-Dienste, nicht eine Live-Ansicht von Prozessen oder ein Systemereignisprotokoll. Der Agent führt eine automatische Inventarisierung aus: Anzahl der Dienste, Anzahl laufender Dienste, Anzahl automatischer Dienste, Anzahl deaktivierter Dienste, Anzahl wichtiger Dienste, Anzahl wichtiger Dienstwarnungen sowie Status von Defender, Windows Update, Druckwarteschlange, WinRM und Remoteregistrierung.

Nutzen Sie diese Ansicht, wenn Sie prüfen möchten, ob wichtige Dienste laufen, ob Microsoft Defender gestoppt wurde, ob die Remoteregistrierung dort aktiv ist, wo sie nicht aktiv sein sollte, oder ob sich die Anzahl der Dienste nach einer Softwareinstallation geändert hat. Das Monitoring des Dienste-Audits hilft bei Systemzustandskontrollen, der Prüfung von Änderungen nach Updates, der Analyse unerwarteter Dienste und dem Vergleich von Computerkonfigurationen.

Die Ansicht besteht aus dem Analysepanel, der Tabelle täglicher Dienstezustände und einem Detailbereich für den geöffneten Datensatz. Das Panel wird unten erläutert, weil es auf dem neuesten Snapshot basiert, der für jeden Computer im gewählten Datumsbereich gespeichert wurde. Eine einzelne Tabellenzeile bedeutet ein tägliches Dienste-Audit einer Maschine. Nach dem Öffnen des Datensatzes zeigt die Anwendung Dienste, die in diesem konkreten Computerzustand gespeichert wurden: Anzeigename, Systemname, Status, Starttyp, Diensttyp, Quelle und Kennzeichnung als wichtiger Dienst für den zugehörigen Computer und Mitarbeiter.

Tägliche Tabelle im Monitoring von Windows-Diensten

Die Tabelle zeigt den Zustand der Dienste, die an einem bestimmten Tag auf einem Computer erkannt wurden. Lesen Sie sie als Ergebnis eines Dienstkonfigurations-Audits, nicht als minütliches Systemmonitoring. Wenn ein Dienst während der Snapshot-Erfassung vorhanden war, speichert der Datensatz seinen Status, Starttyp, Diensttyp und die Information, ob er zur Gruppe wichtiger Dienste gehört.

Achten Sie zuerst auf:

  • Anzahl der Dienste - den vollständigen Umfang der Diensteinventarisierung auf dem Computer.
  • Anzahl laufender Dienste und beendete Dienste - ein schnelles Bild des aktuellen Dienstzustands.
  • Anzahl wichtiger Dienstwarnungen - ein Hinweis, dass ein als wichtig markierter Dienst nicht läuft.
  • Defender und Windows Update - Dienststatus mit Bedeutung für Sicherheit und Updates.
  • Druckwarteschlange, WinRM und Remoteregistrierung - Dienste, die oft für Administration, Drucken oder Remotezugriff relevant sind.
  • Automatisch, Manuell und Deaktiviert - die Verteilung der Dienststarttypen.

Der Datensatz kann außerdem die Anzahl von Diensten im eigenen Prozess, im freigegebenen Prozess, interaktiven Diensten, den häufigsten Status, den häufigsten Starttyp, den letzten Dienst und den letzten Dienstnamen enthalten. Die Suche umfasst Datum, Agent, Computer, Windows-Benutzer, aktive Stunden, Status kritischer Dienste, letzten Dienst, Status, Starttyp und den Inhalt der JSON-Details.

Analysepanel im Monitoring von Dienste-Snapshots

Das Analysepanel baut das aktuelle Bild aus dem letzten Datensatz jedes Computers auf. Dadurch beschreiben Anzahl der Dienste, Anzahl laufender Dienste, Anzahl wichtiger Dienste, Anzahl wichtiger Dienstwarnungen, Anzahl automatischer Dienste und Anzahl deaktivierter Dienste den aktuellen Umgebungszustand, statt dieselben Dienste über aufeinanderfolgende Tage zu summieren.

Die wichtigsten Panel-Metriken sind:

  • Anzahl der Dienste - die vollständige Zahl der in den neuesten Snapshots gefundenen Dienste.
  • Anzahl laufender Dienste - wie viele Dienste den Status Wird ausgeführt haben.
  • Anzahl wichtiger Dienste - Dienste, die für Betrieb oder Sicherheit des Systems besonders relevant markiert sind.
  • Anzahl wichtiger Dienstwarnungen - wichtige Dienste, die nicht laufen.
  • Anzahl automatischer Dienste - Dienste, die für automatischen Start konfiguriert sind.
  • Anzahl deaktivierter Dienste - Dienste mit Starttyp Deaktiviert.

Vergleichen Sie beim Lesen des Panels die Diensteanzahl mit den Warnungen. Eine hohe Diensteanzahl allein muss kein Problem sein, aber mehr wichtige Dienstwarnungen oder ein gestoppter Defender sollten zu den Datensatzdetails führen.

Rankings im Monitoring von Dienststatus und Starttypen

Rankings und Verteilungen zeigen, wo ungewöhnliche Dienstzustände konzentriert sind. Der Standardtab Wichtige Dienstwarnungen zeigt Computer, auf denen wichtige Dienste ohne den Status Wird ausgeführt erkannt wurden, und ist daher ein guter Einstieg für Risikoprüfungen.

Im Panel verfügbar sind:

  • Wichtige Dienstwarnungen - Ranking der Computer mit Problemen bei als wichtig markierten Diensten.
  • Dienststatus - Verteilung laufender und beendeter Dienste.
  • Dienststarttypen - Aufteilung in Automatisch, Manuell und Deaktiviert.
  • Computer - Maschinen nach Diensteanzahl, mit zusätzlicher Warninformation.
  • Mitarbeiter - Aggregation nach Mitarbeitern, die mit Datensätzen verbunden sind.

Wenn ein Computer im Ranking wichtiger Warnungen erscheint, öffnen Sie seinen Datensatz und prüfen Sie die Dienstnamen. Die Verteilung der Starttypen sollte zusammen mit Trends gelesen werden, weil eine plötzliche Umstellung vieler Dienste auf Deaktiviert auf eine Richtlinie, einen Installer oder eine Systemkonfiguration hinweisen kann.

Trends im Monitoring von Systemdienst-Änderungen

Trends zeigen, wie sich tägliche Dienste-Snapshots im Zeitverlauf verändert haben. Die Diagramme sind keine Liste von Dienststarts und -stopps, sondern eine Reihe von Zuständen, die der Agent gesammelt hat. Dadurch sehen Sie, ob die Diensteanzahl wächst, ob automatische Dienste sich ändern, ob wichtige Dienstwarnungen auftreten und ob der auditierte Computerumfang stabil bleibt.

Verfügbare Diagramme umfassen Anzahl der Dienste, Anzahl laufender Dienste, Anzahl automatischer Dienste, Anzahl deaktivierter Dienste, Anzahl wichtiger Dienste, Anzahl wichtiger Dienstwarnungen, Computer und Mitarbeiter.

Am wichtigsten sind plötzliche Änderungen. Ein Anstieg der Diensteanzahl kann aus einer Softwareinstallation oder einem Systemupdate resultieren, ein Rückgang kann Deinstallation oder ein Erfassungsproblem bedeuten, und ein Sprung bei wichtigen Dienstwarnungen erfordert meist eine schnelle Prüfung konkreter Dienstnamen in den Details.

Vergleiche im Monitoring des Dienste-Audits

Der Tab Vergleiche stellt den aktuellen Bereich einem Referenzzeitraum gegenüber und hilft zu beurteilen, ob sich der Dienstzustand auf Computern sichtbar geändert hat. Das ist nützlich nach Softwarebereitstellung, Sicherheitsrichtlinienänderungen, Systemupdates oder administrativen Arbeiten, die Dienste hinzugefügt, entfernt oder umgeschaltet haben können.

Meist lohnt sich der Vergleich von:

  • Anzahl der Dienste - ob Computer Dienste gewonnen oder verloren haben.
  • Anzahl laufender Dienste - ob sich der Betriebszustand von Diensten geändert hat.
  • Anzahl automatischer Dienste - ob mehr Dienste mit dem System starten.
  • Anzahl deaktivierter Dienste - ob die Konfiguration gehärtet oder versehentlich geändert wurde.
  • Anzahl wichtiger Dienste und Anzahl wichtiger Dienstwarnungen - ob kritische Dienste weiterhin korrekt arbeiten.
  • Computer und Mitarbeiter - ob die Änderung den gesamten Umfang oder einzelne Maschinen betrifft.

Wenn der Vergleich eine große Differenz zeigt, beginnen Sie mit Computern mit der höchsten Anzahl wichtiger Dienstwarnungen. Öffnen Sie anschließend die Details und prüfen Sie, ob die Änderung Defender, Windows Update, Remoteregistrierung, den eigenen Dienst der Anwendung oder eine andere Komponente betrifft.

Anomalien im Monitoring kritischer Dienste

Anomalien in der Ansicht Audit - Dienste konzentrieren sich auf Situationen mit möglicher betrieblicher oder sicherheitsbezogener Bedeutung. Der Mechanismus prüft die neuesten Snapshots, vergleicht die Diensteanzahl mit dem Basiszeitraum und kontrolliert ausgewählte Windows-Dienste separat.

Das Panel kann folgende Fälle melden:

  • Wichtiger Dienst wird nicht ausgeführt - mindestens ein als wichtig markierter Dienst hat nicht den Status Wird ausgeführt.
  • Microsoft Defender-Dienst wird nicht ausgeführt - der Dienst WinDefend existiert, läuft aber im neuesten Snapshot nicht.
  • Remoteregistrierungsdienst wird ausgeführt - RemoteRegistry läuft, was in vielen Umgebungen eine bewusste administrative Entscheidung sein sollte.
  • Anzahl der Dienste hat sich deutlich geändert - die Zahl der erkannten Dienste weicht vom Vergleichszeitraum ab.

Prüfen Sie in den Anomaliebelegen Anzahl wichtiger Dienstwarnungen, Anzahl wichtiger Dienste, WinDefend-Status, RemoteRegistry-Status, aktuelle Anzahl der Dienste, Basisanzahl der Dienste und den minimalen Änderungsschwellenwert. Bei Sicherheitsdiensten lohnt sich außerdem der Vergleich mit der Unternehmensrichtlinie, weil nicht jede Statusänderung zufällig ist.

Datensatzdetails im Monitoring des Dienste-Audits

Nach dem Anklicken eines Datensatzes sehen Sie die Dienste, die im täglichen Computerzustand gespeichert wurden. Die Liste stellt wichtige Dienste zuerst dar und sortiert die übrigen Einträge nach Anzeigename, sodass der Weg von einer Warnung zum konkreten Dienst kurz bleibt.

Die Details enthalten unter anderem:

  • Dienst, also den Anzeigenamen für Benutzer oder Administrator.
  • Dienstname - der technische Systemname, nützlich in PowerShell, Windows-Diensten und Richtlinien.
  • Status - zum Beispiel Wird ausgeführt oder Beendet.
  • Starttyp - Automatisch, Manuell oder Deaktiviert.
  • Wichtig - Kennzeichnung eines Dienstes, der besonders beobachtet wird.
  • Diensttyp, Quelle, Erstmals erkannt, Zuletzt erkannt und Aktive Stunden.

Beginnen Sie die Diagnose mit wichtigen Diensten und den Statuswerten von Defender, Windows Update und Remoteregistrierung. Wenn ein Dienst beendet ist, prüfen Sie seinen Starttyp: Ein manueller Dienst ist anders zu bewerten als ein automatischer Dienst, der nach dem Systemstart laufen sollte.

Datenqualität im Monitoring von Dienste-Snapshots

Der Abschnitt zur Datenqualität prüft, ob die Zusammenfassung des Dienste-Audits mit der Detailliste verbunden werden kann. Das ist wichtig, weil Anzahl der Dienste ohne Namen, Status und Starttypen nicht für eine zuverlässige Diagnose der Systemkonfiguration ausreicht.

Meldungen können fehlende Dienstdetails trotz vorhandener Zusammenfassung, ungültiges JSON, Einträge außerhalb der Grenzen des täglichen Datensatzes, Abweichungen zwischen Zählern und Details, einen noch verarbeiteten aktuellen Tag, einen geschlossenen Datensatz ohne Dienstliste oder vergangene Tage ohne Dienste-Audit-Daten betreffen.

Die stündliche Präsenz bedeutet nur die lokale Stunde, in der der Dienste-Audit-Snapshot gespeichert wurde. Sie ist keine Messung der Benutzeraktivität und zeigt auch nicht, wie viele Dienste in diesem Zeitfenster liefen. Stundenfilterung ist nicht verfügbar, weil tägliche Dienste-Snapshots einen erfassten Inventarzustand darstellen und keine Zähler einzelnen Stunden zuordnen.

Einstellungen für das Monitoring des Dienste-Audits

Die Daten der Ansicht Audit - Dienste sind mit Monitoringprofilen im Bereich Endpunktstatus-Audit verknüpft. Dieser Abschnitt zeigt die Option Dienste-Audit, die für den Snapshot der Systemdienste zuständig ist, in der aktuellen Profilkonfiguration jedoch schreibgeschützt ist.

Praktisch können Sie hier bestätigen, dass das Dienste-Audit im Profil vorhanden ist, diese Option aber nicht direkt im Formular ändern. Im selben Bereich befinden sich auch Prozess-Audit, Benutzer- und Sitzungs-Audit sowie Intervall des Endpunktstatus-Audits (Minuten), für diese Ansicht stammen die entscheidenden Daten jedoch aus dem Dienste-Audit.

Warten Sie nach einer zentralen Änderung des Agentenprofils, bis ein neuer Dienste-Snapshot gespeichert wurde. Kehren Sie anschließend zu Audit - Dienste zurück und prüfen Sie Anzahl der Dienste, Status wichtiger Dienste, Defender, Windows Update, Remoteregistrierung und Anomalien zu geänderter Diensteanzahl oder gestoppten kritischen Diensten.