Wie öffnen Sie das Monitoring der Dateiaktivität?

Öffnen Sie die Ansicht über das Anwendungsmenü: Menü -> Monitoring -> Dateien. Sie dient zur Analyse von Dateiereignissen, die der Agent erfasst: Erstellungen, Änderungen, Löschungen, Umbenennungen und Ereignisse, deren Typ nicht eindeutig erkannt wurde.

Diese Ansicht ist sinnvoll, wenn Sie sehen möchten, welche Dateien am häufigsten berührt wurden, in welchen Verzeichnissen sich Arbeit konzentrierte, welche Erweiterungen besonders oft vorkamen und ob Dateiaktivität einem normalen Arbeitsrhythmus folgte oder eher nach Aufräumen, Massenänderung oder Datenlöschung aussieht. Datei-Monitoring ist ein guter Ausgangspunkt vor der Analyse von Transfers, Dokumenten und USB-Aktivität.

Der Bildschirm kombiniert ein Analyse-Panel mit einer Tabelle täglicher Datensätze. Das Panel führt durch Aktionszähler, Datei-Rankings, Aufteilungen nach Verzeichnissen und Erweiterungen, Trends, Vergleiche, Anomalien, stündliches Auftreten und Qualität der Details. Jeder Tabelleneintrag ist ein täglicher Dateiaktivitätsdatensatz eines Computers. Nach Auswahl eines Eintrags öffnet die Anwendung Details zum Arbeitsplatz und Mitarbeiter, mit Dateien, Aktionen, Pfaden, Größe, Erkennungsquelle und Aktivitätsstunden.

Tagestabelle im Datei-Monitoring

Die Tabelle zeigt eine tägliche Zusammenfassung der Dateiaktivität. Die ersten Spalten beantworten die einfache Frage: dominierten an diesem Tag Erstellen, Ändern, Löschen oder Umbenennen von Dateien?

Die wichtigsten sofort sichtbaren Spalten sind:

  • Eindeutige Dateien - Anzahl unterschiedlicher Dateien, die in der Aktivität erkannt wurden.
  • Erstellt - Anzahl der Dateierstellungsereignisse.
  • Geändert - Anzahl der Dateiänderungsereignisse.
  • Gelöscht - Anzahl der Dateilöschungsereignisse.
  • Umbenannt - Anzahl der Umbenennungen oder Verschiebungen, die als Pfadänderung sichtbar sind.

Nach dem Erweitern der Spalten können Sie Dateiaktivität, Größe, aktivste Datei, häufigste Aktion, Erweiterung, Anteile einzelner Aktionen, letzte Datei, letztes Verzeichnis, vollständigen Pfad und alten Pfad prüfen. Diese Daten helfen, eine einzelne Speicherung von einer größeren Änderungsserie in einem Verzeichnis zu unterscheiden.

Die Suche wertet Datumsangabe, Agentenname, Computer, Windows-Konto, Aktivitätsstunden, Dateinamen, Erweiterungen, Aktionen, Verzeichnisse, vollständige Pfade, alte Pfade und Detailinhalte aus. Wenn ein Pfadfragment, ein Dateiname oder eine Erweiterung bekannt ist, lässt sich die Liste schnell auf die passenden Tage eingrenzen.

Analyse-Panel im Monitoring von Dateiereignissen

Das Analyse-Panel aggregiert Daten aus dem gewählten Zeitraum. Die Auswertung kann zwischen Tag, Woche, Monat und eigenem Bereich wechseln; Werte lassen sich als Gesamtsumme oder Tagesdurchschnitt lesen. Der Tagesdurchschnitt ist hilfreich, wenn Zeiträume unterschiedlicher Länge verglichen werden.

Die zentralen Panel-Metriken sind:

  • Eindeutige Dateien - Anzahl unterschiedlicher Dateien, die in den Details sichtbar sind.
  • Aufteilung der Dateiaktionen: erstellt, geändert, gelöscht und umbenannt.
  • Dateiaktivität - Gesamtzahl der Dateiereignisse im analysierten Zeitraum.
  • Größe aktiver Dateien - Summe der Größen, die mit Dateiaktivität verbunden sind.
  • Computer und Mitarbeiter - Reichweite der in die Analyse einbezogenen Daten.

Lesen Sie Ereigniszahl und Größe am besten gemeinsam. Hohe Aktivität mit kleiner Größe kann viele kleine Speichervorgänge bedeuten, während weniger Ereignisse mit großer Größe auf Arbeit an schwereren Dateien hinweisen können. Bei hohem Löschanteil wechseln Sie direkt in Details und Aktionsranking.

Rankings im Monitoring von Dateien und Verzeichnissen

Rankings zeigen, wo genau sich Aktivität konzentriert hat. Statt jeden Datensatz einzeln zu öffnen, können Sie mit Dateien, Aktionen, Erweiterungen und Verzeichnissen beginnen, die im gewählten Zeitraum den größten Anteil hatten.

Im Panel verfügbar sind:

  • Top-Dateien - Dateien mit der höchsten Ereigniszahl.
  • Dateiaktionen - Verteilung der Aktivität nach Operationstyp.
  • Dateierweiterungen - Erweiterungen, die in Ereignissen am häufigsten vorkommen.
  • Verzeichnisse - Orte im Dateisystem mit der höchsten Aktivität.
  • Aktivste Computer und Aktivste Mitarbeiter - Arbeitsplätze und Personen mit der größten Ereigniszahl.

Wenn ein Benutzerverzeichnis weit oben erscheint, prüfen Sie Erweiterungen und Aktionen. Dominiert ein System- oder Anwendungsverzeichnis, kann das Ergebnis von einem Programm, einer Aktualisierung oder einem Hintergrundprozess stammen. Erst die Kombination aus Verzeichnis, Aktion und letztem Pfad liefert genug Kontext, um die Ereignisse für diesen Computer zu bewerten.

Trends und stündliches Auftreten im Datei-Monitoring

Trends zeigen, wie sich Dateiaktivität von Tag zu Tag verändert hat. Eigene Reihen decken eindeutige Dateien, Erstellungen, Änderungen, Löschungen, Umbenennungen, gesamte Dateiaktivität, Aktivitätsgröße sowie Computer und Mitarbeiter ab.

Bei der Trendanalyse sollten Sie prüfen:

  • ob der Ereignisanstieg eine Aktion betrifft oder alle Operationstypen gleichzeitig,
  • ob die Aktivitätsgröße zusammen mit der Ereigniszahl wächst,
  • ob Löschungen als einzelner Sprung oder als wiederkehrendes Muster erscheinen,
  • ob Umbenennungen mit Verzeichniswechseln oder alten Pfaden verbunden sind.

Das Diagramm Stündliches Auftreten zeigt lokale Stunden, in denen an analysierten Tagen Dateiaktivität vorkam. Es ist kein Ereigniszähler und keine Summe von Dateigrößen. Eine markierte Stunde bedeutet nur, dass der Agent zu diesem Zeitpunkt mindestens eine Aktivität erfasst hat.

Vergleiche im Monitoring von Dateiänderungen

Der Vergleichsbereich stellt den aktuellen Zeitraum einem Referenzzeitraum gegenüber. In der Ansicht Dateien ist das besonders nützlich, wenn schnell bewertet werden soll, ob die Ereigniszahl gestiegen ist, sich die Art der Operationen geändert hat oder Aktivität auf andere Dateitypen gewandert ist.

Prüfen Sie im Vergleich:

  • einen Anstieg bei Dateiaktivität, weil er die allgemeine Veränderung der Ereignisskala zeigt,
  • einen Anstieg bei Gelöscht, besonders wenn Löschungen zuvor niedrig waren,
  • eine Veränderung bei Größe aktiver Dateien, da sie Arbeit an größeren Dateien sichtbar machen kann,
  • den Unterschied bei eindeutigen Dateien, der zeigt, ob Aktivität breit gestreut war,
  • die Veränderung von Computern und Mitarbeitern, um zu klären, ob das Muster eine Person oder einen größeren Bereich betrifft.

Wenn der Vergleich einen deutlichen Anstieg zeigt, bestimmen Sie zuerst die dominierende Aktion. Prüfen Sie danach Datei- und Verzeichnisrankings und öffnen Sie am Ende den Datensatz mit der höchsten Aktivität. Dort sehen Sie vollständigen Pfad, alten Pfad und Erkennungsquelle.

Anomalien im Monitoring der Dateiaktivität

Anomalien markieren Situationen, in denen Dateiaktivität das übliche Niveau überschreitet oder Löschungen, Größe oder eine neue Erweiterung einen ungewöhnlichen Anteil einnehmen. Dieser Bereich eignet sich für eine schnelle Risikoprüfung, bevor viele Datensätze manuell geöffnet werden.

Der Anomalie-Mechanismus umfasst:

  • Die Dateiaktivität ist deutlich gestiegen - wenn die Ereigniszahl im aktuellen Zeitraum klar über dem Vergleichszeitraum liegt.
  • Das Volumen der Dateilöschungen ist deutlich gestiegen - wenn tägliche oder periodenbezogene Löschungen stärker steigen als typische Aktivität.
  • Großes Volumen an Dateiaktivität erkannt - wenn eine konkrete Datei eine große Aktivitätsgröße sammelt.
  • Neue Dateierweiterung hat einen hohen Aktivitätsanteil - wenn eine zuvor nicht vorhandene Erweiterung aktuelle Ereignisse dominiert.

Anomalie-Nachweise können aktuelle und Basis-Dateiereignisse, aktuell und im Basiszeitraum gelöschte Dateien, minimale prozentuale Erhöhung, Dateiereignisse, Größe aktiver Dateien, Dateipfad, Erweiterung und Aktivitätsanteil enthalten. Bei Löschungen beginnen Sie mit Dateiliste und Verzeichnis; bei einer neuen Erweiterung prüfen Sie, ob sie zum Arbeitsprofil des Teams passt.

Datensatzdetails im Monitoring von Dateioperationen

Nach dem Klick auf einen Datensatz zeigt die Anwendung Details der Dateiaktivität, aggregiert für einen Tag und einen Computer. Wiederholte Ereignisse derselben Datei werden zusammengeführt, daher zeigt eine Detailzeile Aktionssummen und den zuletzt bekannten Dateikontext.

In der Detailtabelle sollten Sie prüfen:

  • Dateiidentifikation: Datei, Erweiterung, Verzeichnis, vollständiger Pfad und alter Pfad.
  • Operationstyp: Aktion, erstellt, geändert, gelöscht, umbenannt und unbekannt.
  • Umfang: Dateiaktivität, Größe und Aktivitätsanteil.
  • Quellkontext: Erkennungsquelle, Kategorie, Quelle, Quellentyp und Elementschlüssel.
  • Zeit und Benutzer: erstmals erkannt, zuletzt erkannt, aktive Stunden und Windows-Benutzer.

Stündliches Filtern ist in Details der Dateiaktivität nicht verfügbar, weil die Maske der aktiven Stunden nur die Ereignispräsenz speichert. Sie verteilt Erstellungs-, Änderungs-, Lösch- oder Größenzähler nicht auf einzelne Stunden; behandeln Sie Details daher als tägliches Bild der Dateiaktivität.

Datenqualität im Monitoring der Dateiaktivität

Der Bereich Datenqualität hilft zu beurteilen, ob Tageszusammenfassungen konsistente Dateidetails besitzen. Das ist wichtig, weil die Ereigniszahl allein nicht ausreicht, wenn Informationen zu Pfaden, Aktionen oder Verzeichnissen fehlen.

In diesem Teil des Panels prüfen Sie:

  • Detailabdeckung - Anteil der Datensätze mit verfügbarer Dateiliste.
  • Datensätze ohne Details - Tage mit Aktivitätszählern, aber ohne Detailpositionen.
  • Aktuelle Teildaten - Einträge des aktuellen Tages, die noch auf vollständige Aggregation warten können.
  • Offene historische Datensätze - ältere Datensätze, die offen geblieben sind.
  • Ungültige Details - Fälle einer beschädigten oder nicht lesbaren Detailstruktur.
  • Tage ohne Daten - fehlende Tage im gewählten Zeitraum.

Eine Warnung am aktuellen Tag stammt häufig von laufender Aggregation. Wenn die Meldung bei bereits abgeschlossenen Daten erscheint, prüfen Sie Agentenstatus, Monitoring-Profil, überwachte Ordner und Erweiterungen sowie den korrekten Export der Daten zum Backend.

Einstellungen für das Monitoring der Dateiaktivität

Daten der Ansicht Dateien hängen von Einstellungen in Überwachungsprofilen ab. Nach einer Profiländerung muss die neue Konfiguration den Agenten auf dem Computer erreichen, bevor sie spätere Datensätze beeinflusst. Für diese Ansicht sind editierbare Optionen aus dem Bereich Dateiaktivität relevant.

Die wichtigsten Einstellungen sind:

  • Überwachung der Dateiaktivität - aktiviert die Erfassung von Dateiereignissen, die in dieser Ansicht sichtbar sind.
  • Überwachte Dateierweiterungen - legt fest, welche Dateitypen beobachtet werden; die Liste beeinflusst, welche Erweiterungen in Tabelle, Rankings und Details erscheinen.
  • Überwachte Benutzerordner - gibt Ordner des Benutzerprofils an, die beobachtet werden, standardmäßig Desktop, Documents und Downloads.

Wenn erwartete Dateien in der Ansicht fehlen, prüfen Sie zuerst, ob Überwachung der Dateiaktivität im Profil aktiv ist. Vergleichen Sie danach fehlende Erweiterung und Verzeichnis mit den Profileinstellungen. Dokumentanalyse befindet sich im gleichen Einstellungsbereich, betrifft aber vor allem die Ansicht Dokumente und nicht das grundlegende Register der Dateiaktivität.