Wie öffnen Sie das Monitoring von Regelverstößen?

Öffnen Sie die Ansicht über das Anwendungsmenü: Menu -> Monitoring -> Verstöße. Sie zeigt Ereignisse, bei denen der Agent einen Regelverstoß erkannt und die zugewiesene Reaktion auszuführen versucht hat, zum Beispiel das Blockieren einer Anwendung, einer Website, einer Softwareinstallation oder des Zugriffs auf USB-Speicher. Im Panel und in der Tabelle sehen Sie Regelverstöße, Hoher Schweregrad, Fehlgeschlagene Aktionen, Regel, Regelbereich, Verstoßtyp, Aktionserfolg, betroffene Objekte und Richtlinienstatus.

Nutzen Sie diese Ansicht, wenn Sie nachvollziehen möchten, welche Regeln auf den Computern der Mitarbeitenden tatsächlich ausgelöst werden, ob Durchsetzungsaktionen korrekt abgeschlossen werden und ob ein Verstoß ein Einzelereignis oder ein wiederkehrendes Muster ist. Das Monitoring von Regelverstößen ist besonders nach dem Aktivieren neuer Blockierungsregeln hilfreich, weil es sowohl die Erkennung als auch das Ausführungsergebnis des Agents zeigt.

Die Seite besteht aus dem Analysepanel, einer Datentabelle und einem Detailbereich. Das Panel ordnet Gesamtwerte, wichtigste Regeln, Ergebnisverteilungen, Tagesdiagramme, Periodenvergleiche, erkannte Anomalien, stündliche Aktivität und Hinweise zur Datenqualität. Jede Tabellenzeile steht für einen überwachten Tag eines Computers. Nach Auswahl einer Zeile öffnet die Anwendung die Details für diesen Tag, Arbeitsplatz und Mitarbeiter, gruppiert nach Subjekt, Regel, Typ, Regelbereich, Aktion und Durchsetzungsstatus.

Tagestabelle im Monitoring von Richtlinienverstößen

Die Tagestabelle zeigt schnell, ob auf einem Computer Verstöße aufgetreten sind und wie der Agent sie verarbeitet hat. Lesen Sie die Ereigniszahl immer zusammen mit dem Aktionsergebnis, denn ein erkannter Verstoß bedeutet noch nicht, dass die Blockierung erfolgreich abgeschlossen wurde.

Die ersten Spalten zeigen:

  • Verstöße - die Anzahl der im Datensatz gespeicherten Ereignisse.
  • Hoher Schweregrad - Verstöße, die aus Sicht der Regel wichtig sind.
  • Fehlgeschlagene Aktionen - Durchsetzungsaktionen, die nicht erfolgreich beendet wurden.
  • Regel - die am häufigsten mit dem Datensatz verbundene Regel.
  • Regelbereich - den Teil der Regel, zu dem der Verstoß gehört.

Nach dem Einblenden weiterer Spalten können Sie Verstoßtyp, Aktionserfolg, Aktionsversuche, Erfolgreiche Aktionen, Mittlerer Schweregrad, Niedriger Schweregrad, Informationsschweregrad, letztes Subjekt, letzte Aktion, Richtlinienstatus und Erkanntes Laufwerk prüfen. Die Suche umfasst Aktive Stunden, Bereiche, Verstoßtypen, Regeln, Schweregrade, Aktionen, Details, Status und Text aus den Detailelementen.

Analysepanel im Monitoring der Regeldurchsetzung

Das Analysepanel fasst Regelverstöße für den gewählten Zeitraum zusammen. Der Modus Summe hilft, das gesamte Ereignisvolumen zu bewerten; der tägliche Durchschnitt erleichtert Vergleiche zwischen unterschiedlich langen Zeiträumen oder Phasen mit unterschiedlich vielen aktiven Computern.

Die wichtigsten Kennzahlen sind Regelverstöße, Hoher Schweregrad, Fehlgeschlagene Aktionen, Aktionserfolg, Betroffene Objekte, Ausgelöste Regeln, Computer und Mitarbeiter. Wenn Verstöße zunehmen, der Aktionserfolg aber hoch bleibt, wird die Regel vermutlich durchgesetzt, auch wenn die Quelle der Ereignisse geprüft werden sollte. Wenn Fehlgeschlagene Aktionen steigen, führen die nächsten Schritte in die Durchsetzungsdetails.

In dieser Ansicht lohnt es sich, zwei Fragen zu trennen: Wer oder was löst Verstöße aus, und kann der Agent die geplante Reaktion ausführen? Das Panel beantwortet diese Fragen auf Zeitraumebene, während die Datensatzdetails konkrete Subjekte, Regeln und Aktionen zeigen.

Regelrankings im Monitoring von Sicherheitsverstößen

Rankings helfen zu erkennen, welche Regeln und Subjekte die meisten Verstöße erzeugen. Sie sind ein guter Einstieg, wenn das Ereignisvolumen hoch ist und noch nicht klar ist, ob eine bestimmte Anwendung, Website, ein USB-Gerät, Nutzerverhalten oder eine zu breit konfigurierte Regel die Ursache ist.

Das Ranking-Panel enthält unter anderem:

  • Regeln - die im analysierten Zeitraum am häufigsten ausgelösten Regeln.
  • Verstoßsubjekte - Anwendungen, Websites, Geräte oder andere Subjekte, die mit Ereignissen verbunden sind.
  • Verstoßtypen - Ereignisklassen wie Blockierte Anwendung, Blockierte Website, Blockierung von Softwareinstallationen oder USB-Speicher.
  • Regelschweregrade - die Verteilung der Ereignisse nach Schweregrad.
  • Ergebnisse der Regelaktionen und Regelaktionen - was der Agent versucht hat und wie die Aktion endete.
  • Regelbereiche - Regelteile, in denen Verstöße am häufigsten vorkommen.

Wenn eine Regel das Ranking dominiert, prüfen Sie ihre Definition im Profil. Wenn ein Verstoßsubjekt deutlich herausragt, öffnen Sie die Details und klären Sie, ob es sich um echtes Nutzerverhalten handelt oder ob die Regel einen zu großen Bereich erfasst.

Trends von Regelverstößen im Computer-Monitoring

Trends zeigen, wie sich Regelverstöße von Tag zu Tag verändert haben. Sie können Diagramme für Regelverstöße, Hoher Schweregrad, Fehlgeschlagene Aktionen, Aktionserfolg, Betroffene Objekte und Ausgelöste Regeln auswerten.

Achten Sie beim Lesen der Trends darauf:

  • ob der Anstieg nach dem Aktivieren einer neuen Regel oder nach einer Profiländerung begann,
  • ob Hoher Schweregrad zusammen mit der Gesamtzahl der Verstöße wächst,
  • ob Fehlgeschlagene Aktionen nur bei einem Verstoßtyp auftreten,
  • ob der Aktionserfolg an einem Tag mit vielen Durchsetzungsversuchen sinkt,
  • ob die Zahl ausgelöster Regeln schneller wächst als die Zahl der Computer.

Das Diagramm Stündliche Präsenz von Regelverstößen zeigt, zu welchen lokalen Stunden der Agent an den analysierten Tagen Verstöße bemerkt hat. Es ist kein Ereigniszähler pro Stunde. Eine markierte Stunde bedeutet nur, dass in diesem Zeitfenster ein Verstoß vorhanden war.

Vergleiche von Regelverstößen im Richtlinien-Monitoring

Der Vergleichsbereich stellt den aktuellen Zeitraum neben eine Basisperiode. So sehen Sie, ob die Verstoßaktivität gestiegen, gefallen oder anders strukturiert ist. Das hilft, Regeländerungen zu bewerten und einen einmaligen Ausschlag von einem dauerhaften Problem zu unterscheiden.

In den Vergleichen achten Sie besonders auf:

  • die Veränderung bei Regelverstöße, weil sie das gesamte Ereignisvolumen zeigt.
  • den Anstieg von Hoher Schweregrad, der auf schneller zu prüfende Verstöße hinweisen kann.
  • die Differenz bei Fehlgeschlagene Aktionen, weil sie Durchsetzungsprobleme sichtbar macht.
  • die Bewegung bei Aktionserfolg, vor allem wenn der Wert trotz ähnlicher Verstoßzahl sinkt.
  • Betroffene Objekte und Ausgelöste Regeln, um einzugrenzen, ob das Problem punktuell oder verteilt ist.

Wenn sich der aktuelle Zeitraum von der Basis unterscheidet, beginnen Sie mit Regelbereich und Verstoßtyp. Erst danach gehen Sie zu einzelnen Computern, denn im Monitoring von Regelverstößen liegt die Ursache einer Änderung oft in einer Regel und nicht in einem einzelnen Arbeitsplatz.

Anomalien im Monitoring von Sicherheitsverstößen

Anomalien markieren Ereignisse, die Schwellen überschreiten oder deutlich vom Vergleichszeitraum abweichen. In dieser Ansicht betreffen sie sowohl eine wachsende Zahl von Verstößen als auch Probleme bei der Regeldurchsetzung.

Das Panel kann unter anderem anzeigen:

  • Regelverstöße haben zugenommen - wenn die Aktivität viel höher ist als im Basiszeitraum.
  • Regelverstoß mit hohem Schweregrad erkannt - wenn ein Computer Verstöße enthält, die schneller geprüft werden sollten.
  • Wiederholte Regelverstöße für dasselbe Subjekt - wenn dasselbe Subjekt mehrfach Verstöße auslöst.
  • Fehler bei Aktionen zur Regeldurchsetzung erkannt - wenn der Agent eine Aktion versucht hat und sie fehlgeschlagen ist.
  • USB-Speicherverstöße, die eine Laufwerkserkennung benötigen, sowie Verstöße in einem neuen Regelbereich.

Prüfen Sie in den Anomalienachweisen aktuelle und Basis-Regelverstöße, den Verstoßanstieg, die Anzahl mit hohem Schweregrad, Regelbereich, Verstoßtyp, Regel, Betreff, Fehlgeschlagene Aktionen, Aktionsversuche, Richtlinienstatus, Blockierungsmeldung und Erkanntes Laufwerk. Diese Felder helfen, ein Verhaltensproblem von einem technischen Fehler bei der Ausführung zu trennen.

Datensatzdetails im Monitoring von Richtlinienverstößen

Nach einem Klick auf einen Datensatz zeigt die Anwendung Verstöße, gruppiert für einen Tag und einen Computer. Die Details konzentrieren sich auf das Verstoßsubjekt und die ausgelöste Regel, sodass Sie von der Tageszahl zur konkreten Ursache wechseln können.

Die Detailtabelle enthält Felder wie Betreff, Regel, Verstoßtyp, Regelbereich, Schwere, Aktion, Verstöße, Fehlgeschlagene Aktionen und Details. Zusätzliche Spalten können Richtlinienstatus, Aktionserfolg, Aktionsversuche, Erfolgreiche Aktionen, Erkanntes Laufwerk, Blockierungsmeldung, Regel-ID, Elementschlüssel, Verstoßanteil, Erstmals erkannt, Zuletzt erkannt und Aktive Stunden anzeigen.

Sortieren Sie zuerst nach Hoher Schweregrad oder nach Anzahl der Verstöße, danach prüfen Sie Aktion und Richtlinienstatus. Wenn der Datensatz Fehlgeschlagene Aktionen enthält, sehen Sie sich Blockierungsmeldung und Erkanntes Laufwerk an, weil manche USB-Verstöße erst nach Ermittlung des Laufwerksbuchstabens oder Zugriffspfads vollständig durchgesetzt werden können.

Datenqualität im Monitoring von Regelverstößen

Der Bereich Datenqualität zeigt, ob Verstoßdetails vorhanden sind und ob sie zur täglichen Zusammenfassung passen. Das ist wichtig, weil die Tabelle Aggregatwerte zeigt, während die Ursachenanalyse die Liste der Subjekte, Regeln, Aktionen und Status benötigt.

Das Qualitätspanel kann fehlende Details trotz vorhandener Verstöße melden, eine ungültige JSON-Struktur, Zeitstempel außerhalb des Tagesbereichs, Abweichungen zwischen Detailelementen und Zusammenfassung, laufende Aggregation für den aktuellen Tag oder einen älteren abgeschlossenen Datensatz ohne Verstoßliste.

Wenn das Problem den heutigen Datensatz betrifft, warten Sie auf den Abschluss der Aggregation. Bei älteren Daten prüfen Sie Agentbetrieb, Sendewarteschlange, Verfügbarkeit der ItemsJson-Details und ob Schweregrad- sowie Aktionszahlen zu den Detailelementen passen. Erst nach dieser Kontrolle sollte die Wirksamkeit der Regeln bewertet werden.

Einstellungen für das Monitoring von Regelverstößen

Die wichtigste Datenquelle der Ansicht Verstöße ist die bearbeitbare Blockierungskonfiguration im Agentprofil. Die Option Ereignisse bei Richtlinienverstößen selbst ist in den Einstellungen als schreibgeschützt markiert, aber Administratoren können über Blockierungsregeln beeinflussen, welche Verstöße entstehen.

Die wichtigsten Einstellungen mit Bezug zu dieser Ansicht sind:

  • Anwendungsblockierung und Regeln zur Anwendungsblockierung - definieren Anwendungen oder Treffer, die beim Start durch die Regel behandelt werden sollen.
  • Blockierung von Anwendungsfamilien - erweitert die Durchsetzung auf verwandte Varianten einer Anwendung.
  • Blockierung von Softwareinstallationen - steuert Ereignisse im Zusammenhang mit Installationsversuchen.
  • Webseitenblockierung und Regeln zur Webseitenblockierung - beeinflussen Verstöße des Typs Blockierte Website.
  • Sperren von USB-Speichern, Sperrmodus für USB-Speicher und Erlaubte USB-Speichergeräte - bestimmen, wie Verstöße rund um USB-Speicher entstehen.

Beobachten Sie nach Regeländerungen im Panel Regelverstöße, Fehlgeschlagene Aktionen und Aktionserfolg. Eine zu breite Regel kann viele Verstöße erzeugen, während ein restriktiver USB-Modus möglicherweise erlaubte Geräte ergänzt bekommen muss. Am besten ändern Sie jeweils nur eine Regelgruppe und prüfen danach, ob der Ereignisanstieg zur erwarteten Richtlinienwirkung passt.