Wie öffnet man das Monitoring blockierter Anwendungen?
Sie öffnen die Ansicht über das Anwendungsmenü: Menu -> Monitoring -> Blockierte Anwendungen. Sie dient der Kontrolle von Situationen, in denen Codenica Insight Agent den Versuch erkannt hat, ein Programm auszuführen, das von einer Blockierungsregel erfasst wird, und diese Blockierung in den Monitoring-Daten gespeichert hat.
Diese Ansicht hilft Administratoren bei konkreten Fragen: Welche Anwendungen werden am häufigsten blockiert, welche Regel wurde ausgelöst, auf welchem Computer trat der Versuch auf, ob der Benutzer den Start wiederholt hat und ob der Agent den Prozess erfolgreich stoppen konnte. Es handelt sich nicht um einen normalen Bericht zur Anwendungsnutzung, sondern um eine Ansicht für Sicherheit und Durchsetzung von Regeln.
Im oberen Bereich befindet sich der Analysebereich, in dem Zeitraum, Berechnungsmodus sowie Tabs mit Rankings, Trends, Vergleichen und Anomalien geändert werden können. Darunter steht die Tabelle der Datensätze. In dieser Ansicht bedeutet ein Datensatz einen Monitoring-Tag für einen Computer. Nach dem Anklicken zeigt die Anwendung die Blockierungsdetails dieses Tages, aufgeteilt nach Anwendungen, Prozessen, Regeln und übereinstimmenden Werten.
Datensatzliste im Monitoring von Anwendungsblockierungen
Die Tabelle zeigt tägliche Blockierungszusammenfassungen für Computer im Monitoring. Die Standardspalten sind so gewählt, dass der Umfang der Ereignisse und der wichtigste Kontext sofort sichtbar sind: wie oft Anwendungen gestoppt wurden, welche Anwendungsfamilie dominiert, welcher Prozess am häufigsten erscheint und welche Regel die Blockierung ausgelöst hat.
Die wichtigsten Spalten in dieser Ansicht sind:
- Blockierungen - die Anzahl gespeicherter Blockierungsereignisse für einen bestimmten Tag und Computer.
- Anwendungsfamilie - die Gruppe oder der Name der Anwendung, die im Datensatz am häufigsten vorkam.
- Prozess - der Prozess, der mit der blockierten Anwendung verbunden ist.
- Am häufigsten ausgelöste Regel - die Regel, die am häufigsten zur Blockierung führte.
- Benutzerversuche - die Anzahl der Startversuche oder wiederholten Aktionen auf Benutzerseite.
- Blockierte Prozesse - die Anzahl der Prozesse, die der Agent blockieren oder beenden musste.
- Letzter Pfad der ausführbaren Datei, Letzter übereinstimmender Wert und Letzter Übereinstimmungstyp - Diagnosedaten, die helfen zu prüfen, warum eine Regel gegriffen hat.
Die Suche umfasst nicht nur Datum, Computer und Benutzer, sondern auch Anwendungsnamen, Regeln, Prozesse, Dateipfade, übereinstimmende Werte und im Datensatz gespeicherte Details. So lässt sich eine konkrete Blockierung auch dann finden, wenn nur ein Teil des Programmnamens oder Pfads bekannt ist.
Analysebereich im Monitoring blockierter Anwendungen
Der Analysebereich sammelt Tabellendaten und zeigt sie für den ausgewählten Datumsbereich. Sie können Tag, Woche, Monat oder einen eigenen Zeitraum analysieren. Es stehen zwei Berechnungsmodi zur Verfügung: Gesamtsumme, also der Wert für den gesamten Bereich, und Tagesdurchschnitt, der Werte auf einen Analysetag umrechnet.
Die Kennzahlen im Bereich beschreiben Umfang und Reichweite der Blockierungen:
- Blockierungen - die Gesamtzahl der Anwendungsblockierungen.
- Eindeutige Anwendungen - die Anzahl verschiedener Anwendungen oder Anwendungsfamilien, die von Blockierungen betroffen sind.
- Anzahl der Regeln - die Anzahl der Regeln, die an Blockierungen beteiligt waren.
- Computer - die Anzahl der Computer, auf denen solche Ereignisse auftraten.
- Mitarbeiter - die Anzahl der mit den Datensätzen verknüpften Mitarbeiter, sofern das System die Daten einem Benutzer zuordnen konnte.
Sinnvoll ist es, die Anzahl der Blockierungen mit der Anzahl der Anwendungen und Computer zu vergleichen. Viele Blockierungen bei einer Anwendung können auf ein problematisches Programm oder wiederholte Startversuche hinweisen. Viele eindeutige Anwendungen auf vielen Computern sprechen eher für eine breitere Änderung in der Umgebung oder zu weit gefasste Blockierungsregeln.
Rankings im Monitoring blockierter Anwendungen
Rankings zeigen, wo sich Blockierungen konzentrieren. In dieser Ansicht bedeutet ein hoher Wert meistens, dass etwas geprüft werden sollte, aber nicht immer einen Konfigurationsfehler. Manchmal arbeitet die Regel korrekt und zeigt einen echten Versuch, nicht erlaubte Software auszuführen. In anderen Fällen weist eine große Zahl von Blockierungen auf eine zu allgemein definierte Regel hin.
Der Bereich enthält folgende Rankings:
- Am häufigsten blockierte Anwendungen - Anwendungen oder Anwendungsfamilien mit der höchsten Zahl von Blockierungen.
- Am häufigsten ausgelöste Blockierungsregeln - Regeln, die Anwendungen am häufigsten stoppen.
- Mitarbeiter mit den meisten blockierten Anwendungen - Benutzer mit der höchsten Anzahl verknüpfter Ereignisse.
- Computer mit den meisten blockierten Anwendungen - Arbeitsplätze, auf denen Blockierungen am häufigsten auftreten.
Rankings sollten zusammen gelesen werden. Wenn dieselbe Anwendung, Regel und derselbe Computer oben stehen, ist das Problem wahrscheinlich lokal. Wenn eine hohe Position viele Computer betrifft, prüfen Sie besser die Regel selbst, ihren Übereinstimmungstyp und den Wert, der die Blockierung auslöst.
Trends und Blockierungszeiten im Anwendungsmonitoring
Trends zeigen, wie sich Blockierungen an den einzelnen Tagen verändert haben. Das Diagramm Blockierungen hilft, einen plötzlichen Anstieg gestoppter Anwendungen zu erkennen, während Eindeutige Anwendungen, Anzahl der Regeln, Mitarbeiter und Computer zeigen, ob das Thema punktuell oder verteilt ist.
Prüfen Sie in der Praxis:
- ob der Anstieg der Blockierungen nach einer Änderung des Monitoring-Profils oder nach dem Hinzufügen einer neuen Regel auftrat,
- ob die Anzahl eindeutiger Anwendungen zusammen mit der Anzahl der Blockierungen steigt,
- ob die Blockierungen viele Computer oder nur einen Arbeitsplatz betreffen,
- ob die Mitarbeiterzahl steigt oder das Problem einem einzelnen Benutzer zugeordnet ist.
Das separate Diagramm Stündliches Auftreten von Blockierungen zeigt den Prozentsatz der überwachten Tage, an denen in einer bestimmten lokalen Stunde mindestens eine Blockierung aufgetreten ist. Es ist weder die Anzahl der Blockierungen noch die Dauer eines Ereignisses. Eine markierte Stunde bedeutet nur, dass in dieser Stunde eine blockierte Anwendung beobachtet wurde.
Zeitraumvergleiche im Monitoring blockierter Programme
Der Vergleichstab stellt den aktuellen Zeitraum einem vorherigen Bereich ähnlicher Länge gegenüber. Im Monitoring blockierter Anwendungen ist das nach Richtlinienänderungen besonders nützlich, weil die reine Anzahl der Blockierungen noch nicht zeigt, ob die Situation normal ist oder gerade etwas Neues begonnen hat.
Achten Sie bei Vergleichen auf mehrere Signale:
- ein Anstieg von Blockierungen kann mehr reale Versuche bedeuten, verbotene Programme zu starten, oder eine neue Regel, die mehr Fälle erfasst,
- ein Anstieg von Eindeutige Anwendungen zeigt, dass Blockierungen mehr Programme betreffen,
- ein Anstieg von Anzahl der Regeln kann auf breitere Richtlinienabdeckung oder mehrere Regeln für ähnliche Fälle hinweisen,
- ein Anstieg der Computer- oder Mitarbeiterzahl zeigt, dass das Thema nicht mehr nur einen einzelnen Arbeitsplatz betrifft.
Wenn die Anzahl der Blockierungen nach Einführung neuer Regeln stark steigt, sollten Sie nicht sofort von einem Fehler ausgehen. Prüfen Sie zuerst die Rankings der Regeln und Anwendungen und danach die Datensatzdetails. Oft zeigen erst der übereinstimmende Wert und der Übereinstimmungstyp, ob die Blockierung wie beabsichtigt funktioniert.
Anomalien im Monitoring blockierter Anwendungen
Anomalien weisen auf Situationen hin, die schneller Aufmerksamkeit erfordern als eine normale Tabellenprüfung. Das System analysiert sowohl den Anstieg der Blockierungen gegenüber dem vorherigen Zeitraum als auch einzelne Datensätze mit vielen Benutzerversuchen oder Problemen beim erfolgreichen Beenden von Prozessen.
Die Ansicht kann unter anderem erkennen:
- einen deutlichen Anstieg von Anwendungsblockierungen - wenn der aktuelle Zeitraum deutlich mehr Blockierungen enthält als der Vergleichszeitraum,
- wiederholte Versuche, eine blockierte Anwendung zu starten - wenn ein Benutzer oder Computer mehrfach auf dieselbe Blockierung trifft,
- Fehler beim Beenden von Prozessen - wenn der Agent versucht hat, einen Prozess zu stoppen, aber einige Versuche fehlgeschlagen sind,
- eine neue häufig blockierte Anwendung - wenn ein Programm im vorherigen Zeitraum nicht vorkam und jetzt wiederholt erscheint.
Jede Anomalie enthält Kontext: Datum, Computer oder Anwendung, aktuellen Wert, Referenzschwelle, Änderung und Belegdaten, zum Beispiel Anwendungsname, Regel, Anzahl der Benutzerversuche oder Anteil fehlgeschlagener Prozessbeendigungen. Beginnen Sie mit Anomalien hoher Schwere zur Durchsetzung, da sie auf ein Berechtigungsproblem des Agenten oder einen besonderen Typ blockierter Anwendung hinweisen können.
Datensatzdetails im Monitoring der Anwendungsblockierung
Nach dem Anklicken eines Datensatzes zeigt die Anwendung Details für einen Tag und einen Computer. Hier sehen Sie, welche Anwendung blockiert wurde, welcher Prozess gestartet wurde, welche Regel ausgelöst hat und welcher Wert erkannt wurde. Details sind daher der beste Ort, um zu prüfen, ob die Blockierung aus einer korrekten Richtlinie stammt oder aus einer Regel, die verfeinert werden muss.
Die Details enthalten unter anderem:
- Anwendung, Prozess und Anwendungsfamilie zur Identifikation des blockierten Programms,
- Regel, Regel-ID, Übereinstimmungstyp und Übereinstimmender Wert, die erklären, warum das Programm gestoppt wurde,
- Blockierungen, Anteil der Blockierungen, Benutzerversuche und Blockierte Prozesse, um die Ereignisskala einzuschätzen,
- Pfad der ausführbaren Datei, Erstmals erkannt, Zuletzt erkannt und Aktive Stunden für die technische Diagnose.
Die Stundenfilterung verteilt Blockierungszähler nicht auf konkrete Stunden, weil die Maske aktiver Stunden die Präsenz eines Ereignisses speichert und nicht die Anzahl der Blockierungen pro Stunde. Details sollten daher als tägliche Ereigniszusammenfassung verstanden werden, nicht als minutengenauer Blockierungsverlauf.
Datenqualität und Aktualität im Monitoring von Anwendungsblockierungen
Die Bereiche Datenqualität und Aktualität zeigen, ob die im Analysebereich sichtbaren Ergebnisse vollständige Details besitzen. In der Ansicht Blockierte Anwendungen ist das wichtig, weil eine tägliche Blockierungszahl vorhanden sein kann, auch wenn die detaillierte Liste der Anwendungen oder Regeln noch nicht korrekt gespeichert wurde.
Achten Sie auf folgende Informationen:
- Detailabdeckung - zeigt, welcher Anteil der Datensätze Detaildaten enthält.
- Datensätze ohne Details - weist auf Datensätze hin, in denen Blockierungen vorhanden sind, aber die Liste der Anwendungen oder Regeln fehlt.
- Teilweise aktuelle Daten - kennzeichnet Datensätze des aktuellen Tages, die noch aggregiert werden können.
- Offene historische Datensätze - zeigt ältere Datensätze, die nicht geschlossen wurden.
- Ungültige Details - informiert über ein Problem mit der Struktur der Detaildaten.
- Tage ohne Daten - zeigt Tage im ausgewählten Zeitraum ohne Daten zu blockierten Anwendungen.
Die Aktualität informiert darüber, wann die Ansicht generiert wurde, welcher Datensatz der neueste ist und ob der aktuelle Tag enthalten ist. Wenn Qualitätswarnungen sichtbar sind, prüfen Sie zuerst, ob das Problem nur den aktuellen Tag oder auch geschlossene historische Datensätze betrifft.
Einstellungen für das Monitoring blockierter Anwendungen
Die Anwendungsblockierung wird in den Überwachungsprofilen im Tab Anwendungen konfiguriert. Änderungen am Profil werden in der Agentenkonfiguration gespeichert und greifen, nachdem zugewiesene Computer die neue Konfiguration erhalten haben. Wenn kein Profil separat zugewiesen wurde, verwendet der Agent das Standardprofil.
Für diese Ansicht sind folgende Einstellungen am wichtigsten:
- Anwendungsblockierung - aktiviert oder deaktiviert die Durchsetzung von Regeln zur Anwendungsblockierung.
- Blockierung von Anwendungsfamilien - erlaubt das Blockieren nicht nur eines einzelnen Prozesses, sondern auch einer Anwendungsfamilie, wenn der Agent sie erkennen kann.
- Regeln zur Anwendungsblockierung - die Liste der Regeln, die festlegen, was blockiert werden soll.
- Regel aktiviert - ermöglicht das vorübergehende Deaktivieren einer einzelnen Regel, ohne sie aus dem Profil zu entfernen.
- Name - ein beschreibender Regelname, der später in Berichten und Rankings sichtbar ist.
- Wert - Text, Prozess, Pfad oder ein anderes Fragment, auf das die Regel passen soll.
- Übereinstimmungstyp - die Methode zur Erkennung einer Anwendung, zum Beispiel nach Prozessname, Dateiname, Pfadfragment oder Anwendungsfamilie.
- Ausgeschlossene Prozessnamen - eine Liste von Prozessen, die das Anwendungsmonitoring nicht als typische Benutzerprogramme behandeln soll.
Beim Erstellen von Regeln sollten möglichst konkrete Werte verwendet werden. Eine zu allgemeine Übereinstimmung kann viele Blockierungen erzeugen und die Analyse im Bereich erschweren. Nach dem Speichern lohnt es sich, nach einem oder mehreren Monitoring-Tagen zu dieser Ansicht zurückzukehren und zu prüfen, ob die Rankings für Anwendungen und Regeln das erwartete Ergebnis zeigen.