Monitoring der USB-Blockierung

Wie öffnen Sie das Monitoring der USB-Blockierung?

Öffnen Sie die Ansicht über das Anwendungsmenü: Menu -> Monitoring -> USB - Blockierung. Sie zeigt vom Agent gespeicherte USB-Richtlinienentscheidungen, also ob ein angeschlossener USB-Speicher erlaubt, blockiert, als Gerät auf der Zulassungsliste erkannt oder der Richtliniendurchsetzung unterworfen wurde. In Tabelle und Panel finden Sie Eindeutige USB-Geräte, USB-Entscheidungen, USB-Freigabeentscheidungen, USB-Blockierungsentscheidungen, Fehlgeschlagene USB-Blockierungen, USB-Blockierungserfolg, USB-Entscheidungen auf Zulassungsliste, Computer und Mitarbeiter.

Öffnen Sie diese Ansicht nach dem Aktivieren von Sperren von USB-Speichern, nach Änderungen an der Liste erlaubter Geräte oder wenn Sie prüfen möchten, ob externe Datenträger gemäß Monitoringprofil verwendet werden. Das Monitoring der USB-Blockierung hilft, die normale Nutzung eines bekannten Mediums von einer Situation zu trennen, in der der Agent eine Blockierung ausführen musste oder nicht abschließen konnte.

Der Aufbau der Ansicht umfasst das Analysepanel, eine Tabelle täglicher Datensätze und einen Detailbereich. Das Panel gruppiert Entscheidungszahlen, Geräterankings, Aktions- und Ergebnisverteilungen, Trends, Vergleiche, Anomalien, stündliche Präsenz und Datenqualität. Ein Listeneintrag beschreibt einen überwachten Tag auf einem bestimmten Computer. Nach dem Öffnen zeigt die Anwendung Details für Arbeitsplatz und Mitarbeiter, vor allem nach USB-Gerät, Volume, Entscheidung, Richtlinienstatus und Blockierungserfolg aggregiert.

Tagestabelle im Monitoring der USB-Blockierung

Die Tagestabelle zeigt schnell, ob auf einem Computer USB-Geräte erschienen sind und wie die Richtlinie diese Medien behandelt hat. Prüfen Sie zuerst die Zahl der Entscheidungen und Geräte, danach Blockierungen, Freigaben und fehlgeschlagene Durchsetzungsversuche.

Im grundlegenden Tabellenlayout sehen Sie:

Eindeutige USB-Geräte - die Anzahl erkannter Medien oder Geräte, die im Datensatz aggregiert wurden.
USB-Entscheidungen - die Summe von Freigabe- und Blockierungsentscheidungen für den jeweiligen Tag.
Erlaubt - Entscheidungen, bei denen die Nutzung des USB-Speichers zugelassen wurde.
Blockierungen - Entscheidungen, bei denen die Richtlinie eine Blockierung des Mediums vorsah.

Nach dem Einblenden weiterer Spalten können Sie Fehlgeschlagene USB-Blockierungen, Letzte Entscheidung, Blockierungsversuche, Erfolgreiche Blockierungen, Blockierungserfolg, Erforderliche Blockierungen, Geräte auf der Zulassungsliste, Freigabe- und Blockierungsanteile, letzte Aktion, Modus, Richtlinienstatus, Volume, Laufwerk, Seriennummer, Geräte-ID und die Information prüfen, ob das letzte Medium auf der Zulassungsliste stand. Die Suche umfasst außerdem Aktive Stunden, Aktionen, Modi, Status, Volumes, Seriennummern, Laufwerksnamen und ItemsJson-Details.

Analysepanel im Monitoring von USB-Richtlinien

Das Analysepanel fasst USB-Richtlinienentscheidungen aus dem gewählten Zeitraum zusammen. Gesamt zeigt die vollständige Zahl von Ereignissen und Entscheidungen, während der tägliche Durchschnitt Vergleiche zwischen unterschiedlich langen Zeiträumen oder Bereichen mit anderer Zahl aktiver Computer erleichtert.

Die wichtigsten Metriken sind Eindeutige USB-Geräte, USB-Entscheidungen, USB-Freigabeentscheidungen, USB-Blockierungsentscheidungen, Fehlgeschlagene USB-Blockierungen, USB-Blockierungserfolg und USB-Entscheidungen auf Zulassungsliste. Wenn Blockierungen zunehmen, prüfen Sie gleichzeitig den Blockierungserfolg. Mehr Blockierungen bei hoher Erfolgsrate bedeuten meist eine aktiv wirkende Richtlinie, während mehr fehlgeschlagene Blockierungen in die Gerätedetails führen sollten.

Im Monitoring der USB-Blockierung trennt das Panel zwei Themen: Erkennung des Mediums und Ausführung der Entscheidung. Dadurch sehen Sie nicht nur, dass ein Gerät im System erschienen ist, sondern auch, ob der Agent es als erlaubt erkannt hat, ob es blockiert werden sollte und ob die Blockierung ausgeführt wurde.

Geräterankings im Monitoring von USB-Richtlinien

Rankings helfen festzustellen, welche Geräte und Computer die meisten USB-Richtlinienentscheidungen erzeugt haben. Sie sind ein guter Einstieg, wenn das Panel mehr Blockierungen zeigt, aber noch unklar ist, ob ein Medium, ein Arbeitsplatz oder ein breiteres Nutzungsmuster von Wechselspeichern dahintersteht.

Das Ranking-Panel enthält unter anderem:

Häufigste USB-Geräte - Medien oder Geräte mit der größten Zahl von Richtlinienereignissen.
USB-Richtlinienaktionen - die Verteilung der Aktionen, die der Agent versucht hat.
Ergebnisse der USB-Richtlinien - Statuswerte, die zeigen, wie die Entscheidung verarbeitet wurde.
USB-Richtlinienmodi - Modi, in denen die Blockierungsrichtlinie gearbeitet hat.
Aktivste Computer und Aktivste Mitarbeiter - Orte und Benutzer mit der größten Zahl von USB-Ereignissen.

Wenn ein Gerät das Ranking dominiert, öffnen Sie die Details und vergleichen Modell, Seriennummer, Volume und Entscheidung. Bei USB kann der Volume-Name täuschen, daher sind Geräte-ID und Seriennummer oft wichtiger als die Laufwerksbezeichnung.

Trends von USB-Entscheidungen im Blockierungs-Monitoring

Trends zeigen, wie sich USB-Richtlinienentscheidungen an aufeinanderfolgenden Tagen verändert haben. Sie können Diagramme für Eindeutige USB-Geräte, USB-Entscheidungen, USB-Freigabeentscheidungen, USB-Blockierungsentscheidungen und Fehlgeschlagene USB-Blockierungen auswerten.

Achten Sie beim Lesen der Trends darauf:

ob ein Anstieg der Entscheidungen nach einer Profiländerung oder einer Aktualisierung der erlaubten USB-Speicher auftrat,
ob die Zahl der Blockierungen gemeinsam mit der Zahl eindeutiger Geräte wächst,
ob fehlgeschlagene Blockierungen einzeln auftreten oder auf demselben Computer eine Serie bilden,
ob Freigabeentscheidungen nach dem Hinzufügen neuer Geräte zur Zulassungsliste dominieren,
ob die Zahl der USB-Entscheidungen zur Zahl der überwachten Computer passt.

Das Diagramm Stündliche USB-Richtlinienpräsenz zeigt, zu welchen lokalen Stunden der Agent an den analysierten Tagen USB-Richtlinienaktivität bemerkt hat. Es ist kein Entscheidungszähler und keine Nutzungsdauer des Mediums. Eine markierte Stunde bedeutet nur, dass in diesem Intervall ein Richtlinienereignis vorhanden war.

Vergleiche der USB-Blockierung im Computer-Monitoring

Der Vergleichsbereich stellt den aktuellen Bereich einer Referenzperiode gegenüber. So wird sichtbar, ob nach Richtlinienänderungen die Zahl der Geräte, Blockierungen, Freigaben oder Durchsetzungsprobleme gestiegen ist.

In Vergleichen achten Sie auf:

die Veränderung bei USB-Entscheidungen, weil sie die gesamte Richtlinienaktivität zeigt.
den Anstieg von USB-Blockierungsentscheidungen, besonders wenn er nach einem strengeren Modus erscheint.
die Differenz bei Fehlgeschlagene USB-Blockierungen, weil sie technische Probleme bei der Richtlinienausführung zeigt.
die Bewegung bei USB-Blockierungserfolg, denn ein Rückgang dieses Werts ist wichtiger als die Zahl der Versuche allein.
Eindeutige USB-Geräte und USB-Entscheidungen auf Zulassungsliste, um neue Medien von bereits akzeptierten Geräten zu trennen.

Bei einer deutlichen Abweichung vom Referenzbereich prüfen Sie zuerst USB-Richtlinienmodi und Ergebnisse der USB-Richtlinien, danach gehen Sie zu konkreten Computern. Bei der USB-Blockierung liegt die Ursache einer Änderung oft in der Profilkonfiguration, nicht in einem einzelnen angeschlossenen Medium.

Anomalien im Monitoring der USB-Speicherblockierung

Anomalien weisen auf Ereignisse hin, die Schwellen überschreiten oder gegenüber dem Vergleichszeitraum auffallen. In dieser Ansicht betreffen sie vor allem wachsende Blockierungen, Durchsetzungsfehler und neue Geräte, die blockiert wurden.

Das Panel kann unter anderem anzeigen:

USB-Blockierungsaktivität ist deutlich gestiegen - wenn die Zahl der Blockierungen klar höher ist als im Basiszeitraum.
USB-Blockierung fehlgeschlagen - wenn Geräte, die blockiert werden sollten, nicht erfolgreich durchgesetzt wurden.
Neues USB-Gerät wurde blockiert - wenn im aktuellen Zeitraum ein Medium erscheint, das vorher nicht vorhanden war.
USB-Laufwerkserkennung steht aus - wenn der Agent vor vollständiger Durchsetzung den Pfad oder Namen des Laufwerks ermitteln muss.

Prüfen Sie in den Anomalienachweisen Aktuelle Anzahl der Blockierungen, Referenzanzahl der Blockierungen, Anstieg der Blockierungen, Fehlgeschlagene USB-Blockierungen, Anzahl soll blockieren, Anteil fehlgeschlagener Beendigungen, Gerät, Richtlinienstatus, Ausstehende Laufwerkserkennung, Versuche zur Laufwerkserkennung und Grund. Diese Felder helfen, ein Konfigurationsproblem von einem Problem mit der Erkennung eines bestimmten Mediums zu trennen.

Datensatzdetails im Monitoring von USB-Entscheidungen

Nach einem Klick auf einen Datensatz zeigt die Anwendung USB-Geräte, aggregiert für einen Tag und einen Computer. Die Details werden nach stabiler Geräteidentität gruppiert, mit Modell, Seriennummer, Geräte-ID, PnP Device ID, Laufwerksname, Volume und weiteren Daten, die ähnliche Medien voneinander unterscheiden.

Die Detailtabelle enthält Felder wie USB-Gerät, Volume, Modell, Seriennummer, Laufwerk, Entscheidung, Richtlinienergebnis, USB-Entscheidungen, USB-Freigabeentscheidungen, USB-Blockierungsentscheidungen, Fehlgeschlagene USB-Blockierungen und Information zur Zulassungsliste. Zusätzliche Spalten können USB-Ereignisse, Aktivitätsanteil, Aktion, Modus, Laufwerkstyp, Laufwerksformat, Erforderliche Blockierungen, Blockierungsversuche, Erfolgreiche Blockierungen, Blockierungserfolg, erste und letzte Erkennung, Aktive Stunden, Gerätekennungen, Blockierungsmeldung und Reparaturmeldung anzeigen.

Sortieren Sie zuerst nach USB-Blockierungsentscheidungen oder Fehlgeschlagenen USB-Blockierungen. Danach prüfen Sie Richtlinienstatus, Modus und Blockierungsmeldung. Wenn ein Gerät als erlaubt markiert ist, vergleichen Sie Seriennummer, Geräte-ID und Volume-Bezeichnung mit der Liste Erlaubte USB-Speichergeräte im Profil.

Datenqualität im Monitoring von USB-Richtlinien

Der Bereich Datenqualität prüft, ob Gerätedetails vorliegen und mit der Tagesaggregation übereinstimmen. Das ist wichtig, weil die Tabelle aggregierte Werte zeigt, während die Analyse der USB-Blockierung Gerät, Entscheidung, Status und Durchsetzungszähler benötigt.

Das Qualitätspanel kann fehlende Details trotz vorhandener Entscheidungen melden, eine ungültige JSON-Struktur, Elemente mit Zeitstempeln außerhalb des Tages, Abweichungen zwischen Zusammenfassung und Geräteliste, noch laufende Aggregation des aktuellen Tages oder einen abgeschlossenen Datensatz ohne USB-Details.

Wenn die Warnung heutige Daten betrifft, warten Sie, bis die Aggregation abgeschlossen ist. Bei älteren Datensätzen prüfen Sie Agentbetrieb, Sendewarteschlange, Vorhandensein von ItemsJson und ob Entscheidungen, Blockierungen, Freigaben sowie fehlgeschlagene Blockierungen zu den Detailzeilen passen. Erst danach ist eine Bewertung der USB-Richtlinienwirksamkeit sinnvoll.

Einstellungen für das Monitoring der USB-Blockierung

Die in dieser Ansicht dargestellten Daten hängen von der bearbeitbaren Profilkonfiguration für Sperren von USB-Speichern ab. Diese Optionen entscheiden, ob der Agent Geräte nur beobachtet, unbekannte Medien sperrt oder ausschließlich Speicher zulässt, die auf der erlaubten Liste stehen.

Die wichtigsten Optionen mit Bezug zu dieser Ansicht sind:

Sperren von USB-Speichern - aktiviert die Durchsetzung von Regeln zur USB-Speicherblockierung.
Sperrmodus für USB-Speicher - legt das Richtlinienverhalten fest, zum Beispiel Unbekannte Geräte sperren oder Alle außer erlaubten Geräten sperren.
Erlaubte USB-Speichergeräte - die Ausnahmeliste, in der Sie Geräte-ID, Seriennummer, Volume-Bezeichnung oder Laufwerksname hinzufügen können.

Beobachten Sie nach Änderungen USB-Entscheidungen, USB-Blockierungsentscheidungen, USB-Entscheidungen auf Zulassungsliste, Fehlgeschlagene USB-Blockierungen und USB-Blockierungserfolg. Im Modus Alle außer erlaubten Geräten sperren sind vollständige Gerätekennungen besonders wichtig, weil ein zu allgemeiner Eintrag das Medium möglicherweise nicht erkennt, während eine zu breite Ausnahme mehr Geräte zulassen kann als geplant.