Wie öffnet man das Monitoring der USB-Nutzung?

Öffnen Sie die Ansicht über das Anwendungsmenü: Menu -> Monitoring -> USB. Sie dient zur Beobachtung der USB-Gerätenutzung auf Computern mit Agent: Verbindungen, Trennungen, erneute Erkennungen, erkannte Modelle, Seriennummern, Laufwerksbuchstaben, Volumes, Formate und Laufwerkstypen.

Diese Ansicht ist sinnvoll, wenn Sie prüfen möchten, ob USB-Speicher an einem Arbeitsplatz erschienen sind, ob ein Gerät wiederholt neu verbunden wurde, ob neue Datenträger in der Organisation auftauchten oder ob sich USB-Aktivität auf bestimmte Computer konzentriert. Das Monitoring der USB-Nutzung beschreibt keine Blockierungsentscheidungen. Es zeigt tatsächliche Spuren von Gerätepräsenz und Änderungen des Verbindungsstatus.

Die Seite enthält das Analysepanel, eine Tabelle täglicher Datensätze und einen Detailbereich. Das Panel ordnet Zähler für Verbindungsänderungen, eindeutige Geräte, Verbindungen, Trennungen, Rankings, Trends, Vergleiche, Anomalien, stündliches Auftreten und Datenqualität. Ein Listeneintrag entspricht einem täglichen USB-Aktivitätsdatensatz für einen einzelnen Computer. Nach dem Öffnen zeigt die Anwendung die Details dieses Tages für den jeweiligen Arbeitsplatz und Mitarbeiter, aggregiert nach erkannten USB-Geräten und ihren technischen Parametern.

Tagestabelle im Monitoring von USB-Geräten

Die Tagestabelle zeigt schnell, ob ein Computer an einem bestimmten Tag USB-Aktivität hatte und wie intensiv die Statusänderungen der Geräte waren. In der Grundansicht sind die wichtigsten Spalten Zähler, die den Umfang der Aktivität beschreiben, ohne sofort jedes Gerät im Detail zu öffnen.

Die Standardspalten umfassen:

  • Eindeutige USB-Geräte - die Anzahl logisch erkannter Geräte im Datensatz.
  • Änderungen an USB-Verbindungen - die Summe der während des Tages erkannten Verbindungen und Trennungen.
  • Verbunden - die Anzahl der Ereignisse, bei denen ein Gerät als verbunden beobachtet wurde.
  • Getrennt - die Anzahl der Ereignisse, die mit dem Verlust oder Ende einer Verbindung zusammenhängen.

Nach dem Erweitern der Tabelle können Sie zusätzlich die Anzahl der USB-Geräte, das letzte Gerät, das letzte Laufwerk, das letzte Volume und die letzte Seriennummer anzeigen. Die Suche umfasst Datum, Agent-ID, Computer, Windows-Benutzer, aktive Stunden, Laufwerksname, Volume, Gerätekennungen, Seriennummern und Detailinhalte. So lässt sich ein Datensatz auch über einen Teil der Volume-Bezeichnung oder eine bekannte Seriennummer finden.

Analysepanel im Monitoring der USB-Präsenz

Das Analysepanel sammelt Daten aus dem gewählten Zeitraum. Sie können Tag, Woche, Monat oder einen benutzerdefinierten Bereich analysieren und Werte als Gesamtsumme oder Tagesdurchschnitt lesen. Die Gesamtsumme zeigt die komplette Aktivität im Zeitraum, während der Tagesdurchschnitt den Vergleich kurzer und langer Bereiche erleichtert.

Die wichtigsten Panel-Metriken sind:

  • Änderungen an USB-Verbindungen - die Gesamtzahl von Verbindungen und Trennungen.
  • Eindeutige USB-Geräte - die Anzahl erkannter Geräte nach Deduplizierung der Geräteidentität.
  • Verbunden und Getrennt - getrennte Zähler für die beiden Richtungen der Statusänderung.
  • Computer und Mitarbeiter - die im Analysebereich sichtbare Abdeckung von Arbeitsplätzen und Benutzern.

Diese Metriken sollten gemeinsam gelesen werden. Viele Verbindungsänderungen bei wenigen eindeutigen Geräten können bedeuten, dass derselbe Datenträger wiederholt neu verbunden wurde. Eine Zunahme eindeutiger Geräte bei moderater Ereigniszahl spricht eher für viele unterschiedliche Datenträger als für einen einzelnen instabilen Port oder ein problematisches Gerät.

Rankings im Monitoring von USB-Geräten und Datenträgern

Rankings zeigen, wo sich USB-Aktivität konzentriert und welche Geräte die meisten Verbindungsänderungen verursachen. Das ist ein guter Startpunkt, wenn die Tabelle viele Ereignisse zeigt, aber noch unklar ist, ob das Ergebnis von einem Datenträger, einem Computer oder mehreren Personen stammt.

Im Ranking-Panel stehen zur Verfügung:

  • Häufigste USB-Geräte - Geräte sortiert nach der Anzahl der Verbindungsänderungen.
  • USB-Laufwerkstypen - die Verteilung erkannter Datenträgertypen.
  • USB-Laufwerksformate - Dateisysteme oder Formate, die in Gerätedaten sichtbar sind.
  • Aktivste Computer - Arbeitsplätze mit der höchsten Anzahl an USB-Ereignissen.
  • Aktivste Mitarbeiter - Benutzer mit der höchsten Aktivität.

Verlassen Sie sich bei der Analyse des Geräte-Rankings nicht nur auf den Modellnamen. Ähnliche USB-Speicher können denselben Handelsnamen tragen. Prüfen Sie in den Details daher Seriennummer, Volume, Laufwerksbuchstaben und technische Kennungen. Die Verteilung von Typen und Formaten hilft einzuschätzen, ob typische Wechseldatenträger dominieren oder andere Geräteklassen auftreten.

USB-Nutzungstrends im Computermonitoring

Trends zeigen, wie sich USB-Aktivität über die Tage des ausgewählten Zeitraums verändert hat. Separate Reihen umfassen Änderungen an USB-Verbindungen, eindeutige Geräte, Verbindungen und Trennungen. Dadurch lässt sich erkennen, ob ein Anstieg einmalig war oder mehrere Tage anhielt.

Beim Lesen der Trends prüfen Sie:

  • ob ein Sprung bei Verbindungsänderungen zusammen mit mehr eindeutigen Geräten auftritt,
  • ob Verbindungen und Trennungen in ähnlichem Tempo zunehmen,
  • ob die Aktivität nach einer Änderung des Monitoring-Profils oder nach dem Hinzufügen neuer Arbeitsplätze erscheint,
  • ob mehrere Computer einen ähnlichen Ereignisrhythmus haben oder eine einzelne Maschine auffällt,
  • ob neue Datenträger am selben Tag sichtbar werden wie ungewöhnliche Dateiübertragungen.

Das Diagramm Stündliches Auftreten beantwortet, an welchem Anteil der überwachten Tage der Agent USB-Aktivität in einer bestimmten lokalen Stunde bemerkt hat. Es ist kein Ereigniszähler, keine Verbindungsverteilung und keine Nutzungsdauer des Geräts. Eine markierte Stunde bedeutet nur, dass in dieser Stunde eine Spur von USB-Aktivität vorhanden war.

Vergleiche im Monitoring der USB-Aktivität

Der Vergleichsbereich zeigt aktuelle Ergebnisse neben Referenzdaten. In der USB-Ansicht erkennen Sie schnell, ob die Anzahl der Verbindungsänderungen gestiegen ist, ob mehr eindeutige Geräte erschienen sind und ob die Aktivität mehr Computer oder Mitarbeiter betrifft.

Achten Sie bei Vergleichen auf:

  • einen Anstieg von Änderungen an USB-Verbindungen, weil er die allgemeine Veränderung der Aktivitätsintensität zeigt.
  • einen Anstieg von Eindeutige USB-Geräte, besonders wenn der vorherige Zeitraum eine stabile Anzahl von Datenträgern hatte.
  • den Unterschied zwischen Verbunden und Getrennt, um ungewöhnliche Serien von Statusänderungen zu erkennen.
  • die Änderung der Computeranzahl, weil derselbe Ereignisanstieg auf einem Arbeitsplatz anders zu bewerten ist als in einer ganzen Abteilung.
  • die Änderung der Mitarbeiteranzahl, wenn Sie beurteilen möchten, ob sich USB-Aktivität auf mehr Benutzerkonten verteilt.

Wenn der aktuelle Zeitraum deutlich von der Referenz abweicht, beginnen Sie mit dem Geräte-Ranking und gehen danach zu den Computern. Erst die Datensatzdetails zeigen, ob der Anstieg durch ein neues Gerät, einen häufig neu verbundenen Datenträger oder einige normale Ereignisse auf verschiedenen Arbeitsplätzen verursacht wird.

Anomalien im Monitoring der USB-Gerätenutzung

Anomalien weisen auf Situationen hin, die vom Vergleichszeitraum abweichen oder Regelschwellen erreichen. In dieser Ansicht konzentriert sich der Mechanismus auf erhöhte Verbindungsänderungen und auf Geräte, die im vorherigen Zeitraum nicht vorhanden waren.

Das Panel kann unter anderem anzeigen:

  • Änderungen an USB-Verbindungen haben zugenommen - wenn die Anzahl von Verbindungen und Trennungen für einen Computer oder Mitarbeiter deutlich höher ist als zuvor.
  • Neues USB-Gerät erkannt - wenn ein Gerät im aktuellen Zeitraum erscheint, aber in den Vergleichsdaten fehlte.
  • Nachweise zu Verbindungen, Trennungen, dem vorherigen Änderungsniveau und der letzten Aktion des Geräts.

Bei einem neuen Gerät prüfen Sie Modell, Seriennummer, Volume und Laufwerksbuchstaben. Bei einem Anstieg der Verbindungsänderungen ist wichtiger festzustellen, ob die Ereignisse einen Datenträger oder mehrere verschiedene Geräte betreffen. Wenn derselbe Speicher in kurzer Zeit oft erscheint, kann das normales Umstecken, ein USB-Port-Problem oder Arbeit mit einem instabilen Datenträger bedeuten.

Datensatzdetails im Monitoring von USB-Parametern

Beim Öffnen eines Datensatzes sehen Sie die USB-Geräte, die für den gewählten Tag und Computer gesammelt wurden. Details werden zu logischen Geräten dedupliziert, damit mehrere Spuren desselben Datenträgers nicht künstlich viele separate Zeilen erzeugen.

In der Detailtabelle prüfen Sie:

  • Geräteidentifikation: Modell, Seriennummer, Gerät, Geräte-ID und PnP Device ID.
  • Laufwerksinformationen: Laufwerk, Volume, Laufwerkstyp, Laufwerksformat und Volume-Seriennummer.
  • Ereigniszähler: Änderungen an USB-Verbindungen, Verbunden und Getrennt.
  • Speicherkapazität: Gesamtgröße, Verfügbarer freier Speicherplatz und Prozent freier Speicherplatz.
  • Sichtbarkeitszeit: Erstmals erkannt, Zuletzt erkannt und Aktive Stunden.

Die Sortierung nach Modell ist voreingestellt, in der Praxis ist es jedoch oft besser, mit der Anzahl der Verbindungsänderungen oder der letzten Erkennung zu beginnen. Stundenfilterung ist für die Details dieser Ansicht nicht verfügbar, weil die Maske aktiver Stunden nur Aktivitätspräsenz speichert und die USB-Zähler nicht auf einzelne Stunden verteilt. Nutzen Sie die Details daher als tägliche Geräteübersicht, nicht als minutengenaues Protokoll des Datenträgers.

Datenqualität im Monitoring der USB-Nutzung

Der Bereich Datenqualität zeigt, ob tägliche Datensätze vollständige Gerätedetails haben und ob Sie sicher von Panel-Zahlen zu konkreten Datenträgern wechseln können. In der USB-Ansicht ist das wichtig, weil Verbindungen und Trennungen allein nicht ausreichen, um das tatsächlich verwendete Gerät zu erkennen.

Das Qualitätspanel kann fehlende Details trotz vorhandener Zähler, eine ungültige Datenstruktur, Elemente mit Zeitstempeln außerhalb des Tagesbereichs, teilweise Aggregation für den aktuellen Tag, ältere offen gebliebene Datensätze oder fehlende Tage im ausgewählten Zeitraum anzeigen.

Wenn die Warnung den heutigen Datensatz betrifft, warten Sie bis zum Abschluss der Aggregation und prüfen Sie später erneut. Bei abgeschlossenen Tagen kontrollieren Sie die Arbeit des Agenten, die Verfügbarkeit von ItemsJson und die Konsistenz zwischen Geräteliste und Zählern für Verbindungsänderungen. Erst danach sollten Sie Geräte zwischen Computern vergleichen oder Schlussfolgerungen zu ungewöhnlicher USB-Nutzung ziehen.

Einstellungen für das Monitoring der USB-Nutzung

Die Daten in der USB-Ansicht hängen von der Konfiguration in Monitoring-Profilen ab. Für diese Seite ist vor allem der editierbare Schalter USB-Überwachung relevant. Er legt fest, ob der Agent Informationen zur USB-Geräteaktivität auf dem Computer sammeln soll.

In den Einstellungen sind außerdem technische Optionen zu Erkennungsquellen sichtbar, etwa Überwachung logischer USB-Laufwerke, Überwachung von USB-PnP-Laufwerken, Überwachung von USB-Volume-Änderungen, Periodische Ereignisse zur USB-Geräteerkennung und Intervall für USB-Geräteerkennung (Sekunden). Diese Felder sind als schreibgeschützt markiert und werden in einer typischen Profilkonfiguration nicht vom Benutzer bearbeitet.

Wenn erwartete Daten in der USB-Ansicht fehlen, prüfen Sie zuerst, ob USB-Überwachung im Profil aktiviert ist. Stellen Sie anschließend sicher, dass der Agent die aktuelle Konfiguration geladen hat, und warten Sie auf den nächsten täglichen Datensatz. Vergleichen Sie die Datensätze erst danach mit Dateiübertragungs- oder USB-Blockierungsansichten, weil diese Seiten andere Ebenen der Arbeit mit externen Datenträgern beschreiben.