Wie öffnen Sie das Monitoring des Sicherheitsstatus?

Öffnen Sie die Ansicht über das Anwendungsmenü: Menu -> Monitoring -> Sicherheit. Sie dient zur Prüfung von Sicherheitsstatus-Snapshots, die von den Computern der Mitarbeiter gesammelt werden. In Tabelle und Panel sehen Sie Sicherheitsbewertung, Anzahl der Probleme, Status von BitLocker, Windows Update, Defender, Firewall, Secure Boot und TPM sowie aktivierte, deaktivierte und unbekannte Kontrollen, Warnungen und kritische Befunde.

Öffnen Sie diese Ansicht, wenn Sie schnell prüfen möchten, welche Arbeitsplätze ein reduziertes Schutzniveau haben, ob eine wichtige Kontrolle deaktiviert wurde, ob Warnungen zunehmen und ob das Problem einen einzelnen Computer oder eine größere Gerätegruppe betrifft. Monitoring des Sicherheitsstatus liefert administrativen Kontext: Es beschreibt den Zustand des Systemschutzes, nicht den Inhalt der Benutzerarbeit.

Die Seite verbindet das Analysepanel mit Datensatztabelle und Details. Das Panel zeigt Metriken, Kontrollrankings, Statusverteilungen, Trends, Vergleiche, Anomalien, stündliche Präsenz und Datenqualität. Eine Tabellenzeile ist ein täglicher Sicherheitssnapshot, der für einen bestimmten Computer gespeichert wurde. Die Auswahl des Datensatzes öffnet das Bild der Kontrollen für diesen Tag, Arbeitsplatz und Mitarbeiter, gegliedert nach Status, Schwere, Bereich und Erkennungszeit.

Tagestabelle im Monitoring der Computersicherheit

Die Tagestabelle trennt geschützte Computer sofort von solchen, die überprüft werden müssen. Wichtig ist nicht nur die Bewertung selbst, sondern auch welche Kontrolle sie senkt und ob sich der Status gegenüber dem üblichen Geräteverhalten geändert hat.

In der ersten Tabellenansicht finden Sie unter anderem:

  • Sicherheitsbewertung - die prozentuale Bewertung, berechnet aus den im Snapshot gespeicherten Kontrollen.
  • Probleme - die Anzahl der Elemente, die Aufmerksamkeit benötigen.
  • BitLocker - Informationen zur Laufwerkverschlüsselung oder deren Zustand.
  • Windows Update - Status des Updatedienstes und dessen Starttyp.
  • Letzte Warnung - die letzte Problembeschreibung, die im Datensatz gespeichert wurde.

Nach dem Erweitern der Spalten können Sie Sicherheitsstatus, Defender, Firewall, Secure Boot, TPM, aktivierte, deaktivierte und unbekannte Kontrollen, Warnungen, kritische Befunde, Letzte Kontrolle, Letzter Status und Starttyp von Windows Update prüfen. Die Suche umfasst Aktive Stunden, Sicherheitsstatus, Letzter Status, Details, Windows-Update-Status, Starttyp von Windows Update und den Inhalt der Datensatzdetails.

Analysepanel im Monitoring des Schutzstatus

Das Analysepanel sammelt Sicherheitssnapshots aus dem ausgewählten Datumsbereich und zeigt den allgemeinen Zustand der Computer. Diese Ansicht verwendet den Modus Summe, daher sollten Problem-, Warnungs- und Kontrollzahlen als gemeinsames Bild des analysierten Zeitraums gelesen werden.

Die wichtigsten Panelmetriken sind Sicherheitsbewertung, Probleme, Deaktiviert, Warnungen, Kritisch, Geschützte Computer, Computer, Mitarbeiter und Anteil geschützter Computer. Eine hohe Bewertung bei wenigen Problemen bedeutet meist einen stabilen Schutzstatus, während ein Anstieg deaktivierter Kontrollen prüfen lässt, ob kritische Schutzfunktionen betroffen sind.

Bleiben Sie bei der Interpretation des Panels nicht bei einem Prozentsatz stehen. Ein Computer kann eine ordentliche Bewertung haben und gleichzeitig eine wichtige Kontrolle deaktiviert haben. Deshalb sollte die Sicherheitsbewertung mit Problemliste, kritischem Status und Kontrolldetails verglichen werden.

Kontrollrankings im Sicherheitsmonitoring

Rankings helfen festzustellen, welche Sicherheitskontrollen am häufigsten in den Daten erscheinen und wo sich Probleme konzentrieren. Statt mit einem einzelnen Computer zu beginnen, können Sie zuerst sehen, ob dieselbe Kontrolle, derselbe Status oder dieselbe Arbeitsplatzgruppe wiederkehrt.

Das Ranking-Panel enthält:

  • Sicherheitskontrollen - die Liste der Kontrollen, die am häufigsten in Details vorkommen.
  • Kontrollstatus - die Verteilung von Zuständen wie aktiviert, deaktiviert oder unbekannt.
  • Aktivste Computer - Computer mit der größten Zahl an Sicherheitselementen.
  • Aktivste Mitarbeiter - Benutzer, die mit der größten Zahl von Snapshots oder Kontrollen verbunden sind.

Wenn eine Kontrolle mit hoher Bedeutung an der Spitze des Rankings steht, gehen Sie zu den Datensatzdetails und prüfen Sie Status sowie Schwere. Wenn Unbekannt dominiert, kann das Problem aus einem fehlenden Auslesen dieser Information stammen und nicht aus tatsächlich deaktiviertem Schutz.

Trends der Sicherheitsbewertung im Computer-Monitoring

Trends zeigen, wie sich der Sicherheitsstatus im Laufe der Zeit verändert hat. Sie können Diagramme für Sicherheitsbewertung, Probleme, deaktivierte Kontrollen, Warnungen, kritische Befunde und geschützte Computer wechseln.

Bei der Trendanalyse prüfen Sie:

  • ob der Rückgang der Sicherheitsbewertung einen Tag betrifft oder länger anhält,
  • ob die Zunahme der Probleme zusammen mit mehr Warnungen oder kritischen Befunden auftritt,
  • ob die Anzahl deaktivierter Kontrollen nach einem Update, einer Richtlinienänderung oder einem Rollout steigt,
  • ob die Zahl geschützter Computer trotz ähnlicher Zahl überwachter Arbeitsplätze sinkt,
  • ob das Problem gleichzeitig in Defender, Firewall, BitLocker oder Windows Update sichtbar ist.

Das Diagramm Stündliche Präsenz des Sicherheitsstatus zeigt den Prozentsatz der überwachten Tage, an denen ein Sicherheitssnapshot in einer bestimmten lokalen Stunde aufgezeichnet wurde. Es ist weder die Zahl der Probleme noch die Dauer eines reduzierten Schutzstatus; eine markierte Stunde sagt nur, dass der Snapshot dann erfasst wurde.

Vergleiche des Sicherheitsstatus im Arbeitsmonitoring

Vergleiche stellen den aktuellen Bereich neben einen Referenzzeitraum und zeigen, ob sich der Schutzstatus verbessert, verschlechtert oder strukturell verändert hat. Diese Ansicht ist besonders nützlich nach Richtlinienänderungen, Systemupdates, Einführung neuer Agenten oder größeren administrativen Arbeiten.

Achten Sie im Vergleichstab auf:

  • die Änderung der Sicherheitsbewertung, besonders wenn parallel die Zahl der Probleme steigt.
  • die Differenz bei Deaktiviert, weil sie zeigt, wie viele Kontrollen nicht mehr aktiv sind.
  • den Anstieg von Warnungen, der vor einem kritischen Zustand auftreten kann.
  • die Änderung von Kritisch, da sie auf die schwerwiegendsten Befunde hinweist.
  • Anteil geschützter Computer, um einzuschätzen, ob das Problem die Schutzabdeckung und nicht nur einzelne Einträge betrifft.

Wenn der Vergleich eine Verschlechterung zeigt, beginnen Sie mit dem Kontrollranking und grenzen Sie danach auf Computer und Details ein. Diese Reihenfolge hilft schneller zu klären, ob eine Kontrolle, eine Gerätegruppe oder eine allgemeine Konfigurationsänderung die Ursache ist.

Anomalien im Monitoring des Sicherheitsstatus

Anomalien weisen auf Situationen hin, in denen der Sicherheitsstatus zusätzliche Aufmerksamkeit braucht. Der Mechanismus analysiert sowohl einzelne Datensätze als auch Veränderungen gegenüber dem Vergleichszeitraum; deshalb kann das Panel Warnungen zum Zustand eines konkreten Computers und zum Anstieg von Problemen im gesamten Bereich anzeigen.

Die Ansicht kann unter anderem anzeigen:

  • Kritischer Sicherheitsstatus erkannt - wenn ein Computer mindestens einen kritischen Befund hat.
  • Eine wichtige Sicherheitskontrolle ist deaktiviert - wenn eine als wichtig behandelte Kontrolle auf einem überwachten Computer nicht funktioniert.
  • Neue deaktivierte Sicherheitskontrolle erkannt - wenn eine Kontrolle jetzt deaktiviert ist, im Vergleichszeitraum aber nicht deaktiviert war.
  • Warnungen zum Sicherheitsstatus haben zugenommen - wenn Warnungen deutlich höher sind als im Basisbereich.

Prüfen Sie in den Anomalienachweisen Anzahl kritisch, Sicherheitsstatus, Letzte Warnung, Kontrollname, Status, Bereich, Computer, Aktuelle Warnungen, Basiswarnungen und Zunahme der Warnungen. Eine Anomalie ersetzt kein Administratoraudit, zeigt aber klar, welcher Arbeitsplatz oder welche Kontrolle zuerst geprüft werden sollte.

Datensatzdetails im Monitoring von Sicherheitskontrollen

Nach dem Klick auf einen Datensatz zeigt die Anwendung Sicherheitskontrollen, die für einen Tag und einen Computer gesammelt wurden. Details werden nach Kontrolle aggregiert, sodass eine Zeile den Zustand eines konkreten Schutzelements, seinen Status, seine Schwere und die Erkennungszeit beschreiben kann.

Die Detailtabelle enthält: Sicherheitskontrolle, Status, Schwere, Sicherheitsbereich, Elementschlüssel, Erstmals erkannt, Zuletzt erkannt und Aktive Stunden. Die Quelldaten enthalten außerdem Kategorie, Quelle, Quellentyp, Name und Details, die helfen zu bestimmen, woher die Information zur Kontrolle stammt.

Sortieren Sie zuerst nach Schwere oder Status, um die wichtigsten Elemente zu sehen. Prüfen Sie danach Sicherheitsbereich und aktive Stunden. Details können nicht mit einem Stundenfilter eingegrenzt werden, weil die Stundenmaske die Präsenz des Snapshots speichert, aber einzelne Sicherheitszustände nicht konkreten Stunden zuordnet.

Datenqualität im Monitoring des Sicherheitsstatus

Der Datenqualitätsbereich hilft zu beurteilen, ob Details zum Sicherheitsstatus vollständig sind und zur Tageszusammenfassung passen. Das ist wichtig, weil die Ansicht aggregierte Metriken mit einer Kontrollliste verbindet und manche Informationen erst nach Abschluss der Datensatzaggregation erscheinen können.

Das Qualitätspanel kann eine fehlende Kontrollliste, ungültiges Detaildatenformat, Zeitstempel außerhalb des Tagesbereichs, Abweichungen zwischen Zusammenfassung und Elementen, nicht abgeschlossene Aggregation des aktuellen Tages oder einen älteren geschlossenen Datensatz ohne vollständigen Detailsatz melden.

Wenn ein Qualitätsalarm den aktuellen Tag betrifft, lohnt es sich meist, den Abschluss der Aggregation abzuwarten. Bei älteren Datensätzen prüfen Sie Agentenbetrieb, Verfügbarkeit der Systemdaten, Sendewarteschlange und ob der Sicherheitssnapshot die für den Vergleich mit der Zusammenfassung erforderlichen Elemente enthält.

Auditumfang im Sicherheitsmonitoring

Die Ansicht Sicherheit verwendet einen vom Agenten gesammelten Sicherheitsstatus-Snapshot. In den Profileinstellungsdateien gibt es die Option Sicherheitsstatus-Audit sowie das Intervall des Sicherheitsstatus-Audits (Minuten), sie sind jedoch als schreibgeschützt markiert. Das bedeutet, dass wir sie in dieser Panelversion nicht als bearbeitbare Benutzereinstellungen beschreiben.

Praktisch sollten Sie drei Dinge beachten:

  • der Snapshot zeigt den Zustand zum Zeitpunkt des Auslesens, nicht ein fortlaufendes Protokoll jeder Sicherheitsänderung.
  • fehlende Daten für eine Kontrolle können den Status Unbekannt, ein Ausleseproblem oder fehlende Unterstützung dieser Information auf dem Computer bedeuten.
  • die Sicherheitsbewertung sollte zusammen mit Details gelesen werden, weil eine Kontrolle mit hoher Schwere wichtiger sein kann als die reine Zahl der Probleme.

Deshalb eignet sich Monitoring des Sicherheitsstatus am besten als schneller Kontrollbildschirm für Administratoren. Zuerst zeigt es Computer und Kontrollen mit Handlungsbedarf, und erst die Datensatzdetails helfen zu entscheiden, ob ein Eingriff, ein erneutes Auslesen der Daten oder eine Prüfung der Sicherheitsrichtlinie nötig ist.