Wie öffnet man das Monitoring von Softwareänderungen?

Sie finden diese Ansicht im Anwendungsmenü: Menu -> Monitoring -> Softwareänderungen. Sie zeigt, was mit Software auf überwachten Computern passiert ist: welche Anwendungen installiert, aktualisiert, deinstalliert, als Installationsversuch erkannt oder durch eine Richtlinie gestoppt wurden.

Diese Ansicht ist nützlich, wenn Sie prüfen möchten, ob ein neues Programm in der Umgebung aufgetaucht ist, ob Updates wie erwartet laufen, ob Benutzer versuchen, nicht freigegebene Tools zu installieren, und ob die automatische Softwaredeinstallation tatsächlich gestartet wurde. Das Monitoring von Softwareänderungen verbindet Sicherheitskontrolle mit der täglichen administrativen Ordnung.

Die Ansicht besteht aus einem Analysebereich und einer Tabelle mit Tagesdatensätzen. Im Analysebereich wechseln Sie Datumsbereich, Berechnungsmodus, Rankings, Trends, Vergleiche und Anomalien. Die Tabelle darunter zeigt Datensätze, bei denen ein Datensatz einem Monitoring-Tag für einen Computer entspricht. Nach Auswahl eines Datensatzes öffnet die Anwendung die Details dieses Tages für den angegebenen Computer und Mitarbeiter, aufgeteilt nach Software, Herausgeber, Änderungstyp, Versionen, Regel und Blockierungsinformationen.

Datensatzliste im Monitoring geänderter Programme

Die Tabelle ist ein tägliches Register der von Agenten gespeicherten Änderungen. Standardmäßig zeigt sie Spalten, mit denen sich ein normaler Update-Tag schnell von einem Tag mit ungewöhnlichen Installationen oder Richtlinienblockierungen unterscheiden lässt.

Die wichtigsten sichtbaren Spalten sind:

  • Geänderte Software - Anzahl eindeutiger Softwareelemente im Datensatz.
  • Aktualisiert - Anzahl der Programme, für die der Agent eine Versionsänderung erfasst hat.
  • Blockierte Installationen - Anzahl erkannter Installationsversuche, die durch Regeln gestoppt wurden.
  • Am häufigsten geänderte Software - Programm, das im Datensatz am häufigsten vorkam.

Über die Spalteneinstellungen lässt sich zusätzlicher Kontext einblenden, darunter Installiert, Deinstalliert, Anzahl Ereignisse, Installationsversuche, Versuche zur automatischen Deinstallation, Automatische Deinstallation gestartet, Durch Richtlinie blockiert, Häufigster Änderungstyp, Letzter Herausgeber, Letzter Registrierungsschlüssel, Letzte Regelaktion und Meldung zur automatischen Deinstallation.

Die Suche umfasst Datum, Computer, Agent, Windows-Benutzer, Softwarename, Herausgeber, Änderungstyp, Version, Registrierungsschlüssel, Regelname, Regelaktion und in Details gespeicherten Text. So finden Sie eine konkrete Änderung auch dann, wenn Sie nur einen Teil des Anwendungsnamens oder die vorherige Version kennen.

Analysebereich für Update- und Installationsmonitoring

Der Analysebereich fasst die Daten des ausgewählten Bereichs zusammen. Sie können die Analyse zwischen Tag, Woche, Monat und benutzerdefiniertem Zeitraum umschalten und anschließend die Berechnung wählen: Gesamtsumme oder Tagesdurchschnitt. Der erste Modus zeigt das gesamte Änderungsvolumen, der zweite erleichtert den Vergleich unterschiedlich langer Zeiträume.

Verfügbare Kennzahlen sind:

  • Eindeutige Software - Anzahl verschiedener Programme, die in Änderungen sichtbar sind.
  • Aktualisiert - Programme, deren Version sich im analysierten Zeitraum geändert hat.
  • Installiert - neue Softwareelemente, die auf Computern erkannt wurden.
  • Deinstalliert - Programme, die von überwachten Arbeitsplätzen entfernt wurden.
  • Blockierte Installationen - Installationsversuche oder Installationsprogrammstarts, die durch Richtlinien gestoppt wurden.
  • Computer und Mitarbeiter - Reichweite der Änderungen in der Umgebung.

In der Praxis sollten diese Werte gemeinsam gelesen werden. Ein Anstieg der Updates kann nach einem Patch-Tag normal sein, aber ein gleichzeitiger Anstieg von Installationen, Deinstallationen und blockierten Versuchen kann auf manuelle Benutzeraktionen oder eine Änderung der Software-Richtlinien hinweisen.

Rankings im Monitoring von Softwareänderungen

Rankings zeigen, wo sich Ereignisse konzentrieren. In der Ansicht Softwareänderungen sind sie besonders hilfreich, weil die reine Ereigniszahl noch nicht zeigt, ob es um eine beliebte Anwendung, viele Herausgeber, einen bestimmten Computer oder ein breiteres Muster in der Organisation geht.

Verfügbare Auswertungen sind:

  • Am häufigsten geänderte Software - Programme mit der größten Anzahl von Änderungsereignissen.
  • Änderungstypen - Verteilung von Installationen, Updates, Deinstallationen und anderen erkannten Typen.
  • Herausgeber - Softwarehersteller, die in Datensätzen erscheinen.
  • Aktivste Computer - Arbeitsplätze mit den meisten Änderungen.
  • Aktivste Mitarbeiter - Benutzer mit dem höchsten Ereignisvolumen.

Eine gute Arbeitsweise ist der Weg vom Überblick zum Detail. Prüfen Sie zuerst, welche Software oder welcher Änderungstyp dominiert, sehen Sie danach, ob es einen einzelnen Herausgeber betrifft, und öffnen Sie anschließend den Computer oder Mitarbeiter, der weit oben im Ranking steht.

Trends und Stunden im Monitoring von Softwareänderungen

Trends zeigen, wie sich Kennzahlen über aufeinanderfolgende Tage entwickelt haben. Sie können Eindeutige Software, Aktualisiert, Installiert, Deinstalliert, Blockierte Installationen, Computer und Mitarbeiter getrennt betrachten. Diese Aufteilung hilft, normalen Update-Verkehr von einer plötzlichen Welle neuer Installationen oder Softwareentfernungen zu unterscheiden.

Achten Sie bei der Trendanalyse besonders auf:

  • Tage, an denen Installationen steigen, ohne dass Updates ähnlich zunehmen,
  • Deinstallationen, die gleichzeitig auf vielen Computern auftreten,
  • blockierte Installationen, die sich nach einer Änderung des Monitoring-Profils wiederholen,
  • einen starken Anstieg der Computeranzahl, weil er zeigt, dass es sich nicht um einen Einzelfall handelt.

Das Diagramm Stündliche Präsenz von Softwareänderungen hat eine andere Bedeutung als ein normaler Zähler. Eine markierte Stunde bedeutet, dass in dieser lokalen Stunde an einem überwachten Tag mindestens eine Softwareänderung aufgetreten ist. Es zeigt nicht die Anzahl der Änderungen, die Anzahl der Installationen oder die Dauer eines Installationsprozesses.

Zeitraumvergleiche im Monitoring von Programminstallationen

Vergleiche helfen zu prüfen, ob sich der aktuell ausgewählte Bereich anders verhält als der vorherige Referenzzeitraum. Im Monitoring von Softwareänderungen ist das besonders nützlich nach neuen Regeln, Updates von Unternehmenspaketen oder geänderten Profilzuweisungen für Computer.

Vergleiche sollten nach Änderungstyp interpretiert werden:

  • ein Anstieg von Aktualisiert bedeutet oft geplante Patches, sollte aber über das Software-Ranking bestätigt werden,
  • ein Anstieg von Installiert kann auf neue von IT bereitgestellte Tools oder von Benutzern gestartete Installationen hinweisen,
  • ein Anstieg von Deinstalliert hilft, Softwareentfernungen über mehrere Arbeitsplätze hinweg zu erkennen,
  • ein Anstieg von Blockierte Installationen kann zeigen, dass Regeln aktiv geworden sind oder Benutzer verbotene Aktionen wiederholen,
  • ein Zuwachs bei Computer und Mitarbeiter trennt einen lokalen Vorfall von einer Änderung, die einen größeren Teil der Organisation betrifft.

Wenn der Vergleich einen großen Sprung zeigt, gehen Sie am besten direkt zu Rankings und Datensatzdetails. Dort sehen Sie Programmname, Herausgeber, vorherige und aktuelle Version sowie die Regel, die die Installation möglicherweise gestoppt hat.

Anomalien im Monitoring geänderter Programme

Anomalien heben Situationen hervor, die nicht manuell in der Tabelle gesucht werden müssen. Das System analysiert sowohl die Veränderung des gesamten Zeitraums gegenüber dem Vergleichszeitraum als auch einzelne Tagesdatensätze mit wiederholten Installationsversuchen oder Aktivität zur automatischen Deinstallation.

Diese Ansicht kann unter anderem Folgendes anzeigen:

  • Die Aktivität von Softwareänderungen hat deutlich zugenommen - wenn die Ereigniszahl klar höher ist als zuvor.
  • Wiederholte blockierte Softwareinstallationsversuche - wenn eine Richtlinie mehrfach eine Installation oder den Start eines Installationsprogramms gestoppt hat.
  • Aktivität zur automatischen Softwaredeinstallation erkannt - wenn der Agent den Entfernungsmechanismus gemäß einer Regel gestartet hat.
  • Neue Software ändert sich häufig - wenn ein Programm im vorherigen Zeitraum nicht vorhanden war und jetzt viele Ereignisse erzeugt.
  • Hohe Anzahl von Softwareinstallationsversuchen - wenn ein Tag und ein Computer ungewöhnlich viele Installationsversuche enthalten.

Jede Anomalie enthält Nachweise wie Ereigniszahl, Installationsversuche, Softwarename, Herausgeber, Regel, Computer und Benutzer. Beginnen Sie mit Anomalien zu Richtlinien und automatischer Deinstallation, weil eine Systementscheidung den Computer bereits beeinflusst haben kann.

Datensatzdetails im Monitoring von Softwareversionen

Nach dem Klick auf einen Datensatz sehen Sie die Liste der Softwareelemente, die für einen Tag und einen Computer gespeichert wurden. Details führen vom Tageszähler zum konkreten Programm, seinem Herausgeber, der vorherigen Version, der aktuellen Version und den Regeldaten, falls das Ereignis mit einer Richtlinie verbunden war.

Details können unter anderem enthalten:

  • Software, Herausgeber und Änderungstyp als Grundidentifikation des Ereignisses.
  • Vorherige Version und Aktuelle Version, um ein Update oder eine Installationsänderung zu bestätigen.
  • Blockierte Installationen, Installationsversuche, Installiert, Deinstalliert und Aktualisiert als Zähler für das konkrete Programm.
  • Regel, Regel-ID, Regelaktion, Durch Richtlinie blockiert und Meldung zur automatischen Deinstallation als Kontext der Richtlinienentscheidung.
  • Registrierungsschlüssel, Erstmals erkannt, Zuletzt erkannt, Aktive Stunden, Quelle, Quellentyp, Kategorie und Elementschlüssel als technische Diagnosedaten.

Die Stundenfilterung für Details zu Softwareänderungen verteilt Zähler nicht auf einzelne Stunden. Die Aktivitätsmaske speichert nur die Präsenz eines Ereignisses in der Stunde; Details sollten deshalb als tägliche Elementliste und nicht als vollständige Zeitachse eines Installationsprogramms gelesen werden.

Datenqualität im Monitoring von Softwareänderungen

Qualitätskennzahlen helfen einzuschätzen, ob die Ergebnisse im Analysebereich vollständige Detaildaten haben. Das ist wichtig, weil ein Tagesdatensatz Installations- oder Updatezahlen enthalten kann, während die Liste konkreter Programme noch aggregiert wird oder ein Problem mit der Datenstruktur hat.

In den Bereichen Qualität und Aktualität können unter anderem erscheinen:

  • Detailabdeckung - Prozentsatz der Datensätze, für die Änderungsdetails verfügbar sind.
  • Datensätze ohne Details - Tage, an denen Zähler Aktivität zeigen, aber die Elementliste nicht verfügbar ist.
  • Teilweise aktuelle Daten - Datensätze des aktuellen Tages, die sich noch ergänzen können.
  • Offene historische Datensätze - ältere Tage, die nicht korrekt geschlossen wurden.
  • Ungültige Details - Datensätze, deren Details zu Softwareänderungen eine fehlerhafte Struktur haben.
  • Tage ohne Daten - vergangene Tage im ausgewählten Bereich ohne Monitoring-Daten zu Softwareänderungen.

Wenn die Warnung den aktuellen Tag betrifft, lohnt es sich meist, das Ende der Aggregation abzuwarten. Wenn sie bei geschlossenen historischen Datensätzen erscheint, prüfen Sie Agent, Datensynchronisierung und ob der Computer im analysierten Zeitraum verfügbar war.

Einstellungen für das Monitoring von Softwareänderungen

Die Konfiguration dieser Ansicht stammt aus den Überwachungsprofilen, im softwarebezogenen Bereich. Das Profil legt fest, ob der Agent Software scannen, Änderungen speichern, auf Installationsversuche reagieren und Regeln zur automatischen Deinstallation anwenden soll. Neue Einstellungen wirken auf Computern, nachdem der Agent die aktuelle Konfiguration erhalten hat; ein Computer ohne separate Zuweisung nutzt das Standardprofil.

Für die Ansicht Softwareänderungen sind besonders wichtig:

  • Softwarescan - ermöglicht dem Agenten, ein Bild der installierten Software aufzubauen, das später als Grundlage der Änderungserkennung dient.
  • Überwachung von Softwareänderungen - aktiviert das Speichern von Installationen, Updates, Deinstallationen und anderen Änderungen, die in diesem Bericht sichtbar sind.
  • Überwachung benutzerbezogener Softwareänderungen - umfasst Änderungen im Benutzerkontext.
  • Überwachung von Softwareänderungen durch den Dienst - umfasst Änderungen, die vom Agentendienst erkannt werden.
  • Blockierung von Softwareinstallationen - ermöglicht das Erkennen und Stoppen von Installationen gemäß Regeln.
  • Automatische Softwaredeinstallation - erlaubt Regeln, die Entfernung eines Programms zu starten, wenn Richtlinienbedingungen erfüllt sind.
  • Aggressive unbeaufsichtigte Softwareentfernung - verstärkt die Entfernung durch zusätzliche Bereinigungsaktionen, wenn eine normale unbeaufsichtigte Deinstallation nicht ausreicht.
  • Regeln für Softwareinstallationen - Regelliste, in der Sie Name, Übereinstimmungstyp, Wert, Aktion, Befehl zur unbeaufsichtigten Deinstallation und Argumente der unbeaufsichtigten Deinstallation festlegen.

Regeln mit der Aktion Automatische Deinstallation erkennen Software nur, bis Automatische Softwaredeinstallation aktiviert wird. Nach einer Profiländerung ist es sinnvoll, nach dem nächsten Monitoring-Zyklus zu dieser Ansicht zurückzukehren und zu prüfen, ob blockierte Installationen, Auto-Deinstallationsaktivität und Software-Rankings dem entsprechen, was die Richtlinie erzwingen sollte.