Wie öffnen Sie das Monitoring der Zwischenablage?

Öffnen Sie die Ansicht über das Anwendungsmenü: Menü -> Monitoring -> Zwischenablage. Sie dient zur Analyse von Vorgängen in der Zwischenablage, etwa kopiertem Text, Dateien, Bildern und Audio, sowie zur Prüfung, ob kopierte Dateielemente mit USB-Pfaden verbunden waren.

Diese Ansicht ist sinnvoll, wenn Sie das Ausmaß der Zwischenablage-Nutzung verstehen, normales Kopieren von Text mit dem Kopieren von Dateien vergleichen, die über die Zwischenablage bewegte Datenmenge prüfen oder Tage finden möchten, an denen die Aktivität deutlich vom vorherigen Zeitraum abweicht. Die Überwachung der Zwischenablage hilft besonders bei der Analyse von Dokumentarbeit, Datei­verschiebungen zwischen Ordnern und Situationen, in denen die Zwischenablage Teil eines Datentransfers sein kann.

Die Seite enthält ein Analyse-Panel und eine Tabelle mit Datensätzen. Das Panel zeigt Metriken, Rankings, Trends, Vergleiche, Anomalien, stündliches Auftreten und Datenqualität. Eine Tabellenzeile entspricht einem Monitoring-Tag für einen Computer. Nach Auswahl eines Eintrags öffnet die Anwendung Details für diesen Tag, Arbeitsplatz und Mitarbeiter, aufgeteilt nach Elementtyp, Datei, Text, Datenmenge, Quelle, Vordergrundanwendung und aktiven Stunden.

Tagestabelle im Monitoring der Zwischenablage

Die Tabelle zeigt schnell, ob die Zwischenablage an einem bestimmten Tag hauptsächlich für Text genutzt wurde oder ob auch Dateien eine sichtbare Rolle spielten. Die Standardspalten enthalten die Werte, die das Ereignisvolumen am besten beschreiben, bevor Sie einzelne Elemente im Detail öffnen.

Die wichtigsten sichtbaren Spalten sind:

  • Textkopien - Anzahl der aufgezeichneten Textkopiervorgänge.
  • Kopierte Dateien - Anzahl der Dateien, die beim Kopieren über die Zwischenablage berücksichtigt wurden.
  • Textlänge - Gesamtlänge des kopierten Textes, sofern der Agent sie zählen konnte.
  • Größe der kopierten Daten - gesamte Datenmenge der Dateien, die in den Details sichtbar sind.

Nach dem Erweitern der Spalten können Sie auch USB-Daten, die zuletzt kopierte Datei, die häufigste Erweiterung, Bild- und Audiokopien, Kopierereignisse, mögliche Einfügevorgänge sowie die Anzahl der Textzeilen und Wörter prüfen. Diese Felder helfen dabei, normale Textoperationen von Kopiervorgängen mit einer größeren Dateimenge zu unterscheiden.

Durchsucht werden unter anderem Datum, Agent, Computer, Windows-Benutzer, aktive Stunden, Dateierweiterungen, zuletzt kopierte Dateinamen, aktuelle Erweiterungswerte und der in den Details gespeicherte Text. So finden Sie ein bestimmtes Ereignis auch dann, wenn nur ein Teil des Dateinamens oder der Erweiterung bekannt ist.

Analyse-Panel für das Monitoring der Zwischenablage-Aktivität

Das Analyse-Panel fasst die Nutzung der Zwischenablage für den aktuell gewählten Zeitraum zusammen. Zur Auswahl stehen Tag, Woche, Monat und ein eigener Bereich; die Ergebnisse lassen sich als Gesamtsumme oder Tagesdurchschnitt anzeigen. Der Tagesdurchschnitt ist hilfreich, wenn ein kurzer Vorfall mit einer längeren Phase normaler Arbeit verglichen wird.

Die wichtigsten Metriken sind:

  • Textkopien - wie oft die Zwischenablage kopierten Text enthielt.
  • Kopierte Dateien - wie viele Dateien beim Kopieren über die Zwischenablage erfasst wurden.
  • Eindeutige kopierte Dateien - wie viele unterschiedliche Dateien in den Details vorkamen.
  • Von USB kopiert - wie viele Dateielemente mit einem USB-Pfad verbunden waren.
  • Größe der kopierten Daten - gesamte Größe der Dateien, die in den Zwischenablage-Details gespeichert wurden.
  • Computer und Mitarbeiter - Reichweite der Daten im analysierten Zeitraum.

Am besten lesen Sie das Panel, indem Sie Dateianzahl und Datenmenge zusammen betrachten. Viele kleine Dateien beschreiben eine andere Aktivität als ein einzelnes großes Datenpaket. Wenn gleichzeitig Von USB kopiert steigt, wechseln Sie zu den USB-Rankings und Dateidetails.

Rankings im Monitoring kopierter Dateien

Rankings zeigen, welche Elemente der Zwischenablage in den Daten am häufigsten vorkamen und wo sich die Aktivität konzentrierte. Ein hoher Rang bedeutet in dieser Ansicht nicht automatisch einen Verstoß. Er kann normale Dokumentarbeit abbilden, aber auch auf eine Datei oder ein Gerät hinweisen, das geprüft werden sollte.

Im Panel verfügbar sind:

  • Meistkopierte Dateien - Dateien mit den meisten Vorkommen in der Zwischenablage.
  • Größte kopierte Dateien - Dateien sortiert nach Größe der kopierten Daten.
  • Am häufigsten von USB kopierte Dateien - Elemente, die mit USB-Pfaden verbunden sind.
  • Dateierweiterungen - Verteilung kopierter Dateien nach Erweiterungen.
  • Meistgenutzte Anwendungen - Vordergrundanwendungen, die mit Zwischenablage-Ereignissen verbunden sind.
  • Aktivste Computer und Aktivste Mitarbeiter - Orte und Personen mit der höchsten Ereigniszahl.

Eine praktische Analyse beginnt meist bei Dateien und Erweiterungen. Wenn normale Dokumente dominieren, prüfen Sie Größe und Computer. Wenn Archive, ungewöhnliche Erweiterungen oder USB-Elemente weit oben erscheinen, öffnen Sie die Datensatzdetails und sehen Sie sich Dateipfad, Quellgerät und die während des Ereignisses sichtbare Anwendung an.

Trends und stündliches Auftreten im Monitoring der Zwischenablage

Trends zeigen, wie sich die Aktivität der Zwischenablage über aufeinanderfolgende Tage verändert hat. Sie können Textkopien, kopierte Dateien, eindeutige kopierte Dateien, USB-Daten, Textlänge, Größe der kopierten Daten sowie die Anzahl der Computer und Mitarbeiter getrennt betrachten.

Beim Lesen der Trends sollten Sie prüfen:

  • ob der Anstieg Text, Dateien oder vor allem die Datenmenge betrifft,
  • ob USB-Ereignisse nur einmalig auftreten oder sich über mehrere Tage wiederholen,
  • ob die Anzahl eindeutiger Dateien schneller wächst als die Anzahl der Vorgänge,
  • ob die Aktivität von einem Computer oder von einem größeren Teil der Organisation stammt.

Das Diagramm Stündliches Auftreten zeigt den Anteil der analysierten Tage, an denen der Agent in einer bestimmten lokalen Stunde Zwischenablage-Aktivität erkannt hat. Es ist keine Anzahl von Kopien, keine Anzahl von Dateien und keine Dauer der Aktivität. Eine markierte Stunde bedeutet nur, dass in dieser Stunde eine Nutzung der Zwischenablage beobachtet wurde.

Vergleiche im Monitoring von Änderungen der Zwischenablage-Nutzung

Vergleiche stellen den aktuellen Zeitraum einem Referenzzeitraum gegenüber. In der Ansicht Zwischenablage ist das besonders nützlich, wenn Sie einen normalen Tag mit viel Dokumentarbeit von einem plötzlichen Anstieg beim Kopieren von Dateien oder einer ungewöhnlich großen Datenmenge unterscheiden möchten.

Achten Sie bei Vergleichen auf:

  • einen Anstieg bei Textkopien, der oft auf intensive redaktionelle oder administrative Arbeit hinweist,
  • einen Anstieg bei Kopierte Dateien, weil er das Verschieben von Dokumenten über die Zwischenablage zeigen kann,
  • einen Anstieg bei Eindeutige kopierte Dateien, der eine größere Vielfalt von Elementen nahelegt,
  • einen Anstieg bei Von USB kopiert, besonders wenn neue Computer betroffen sind,
  • einen Anstieg bei Größe der kopierten Daten, weil eine einzelne große Datei wichtiger sein kann als viele kleine Vorgänge.

Wenn der Vergleich einen deutlichen Sprung zeigt, bestimmen Sie zuerst die Metrik, die ihn verursacht. Prüfen Sie danach die Datei-Rankings nach Anzahl und Größe. Erst die Datensatzdetails zeigen den Dateinamen, den Pfad, das Quellgerät und die Anwendung, in der die Zwischenablage genutzt wurde.

Anomalien im Monitoring der Zwischenablage und kopierter Daten

Anomalien markieren Situationen, in denen sich die Nutzung der Zwischenablage deutlich vom früheren Verhalten unterscheidet oder Schwellenwerte für Dateianzahl und Datenmenge überschreitet. Dieser Bereich lohnt sich vor einer manuellen Prüfung aller Datensätze, weil er die Tage mit Prüfbedarf schnell eingrenzt.

Der Anomalie-Mechanismus in dieser Ansicht umfasst:

  • Die Kopieraktivität über die Zwischenablage ist deutlich gestiegen - wenn die aktuelle Kopienzahl deutlich höher ist als im Vergleichszeitraum.
  • Hohe Anzahl von Dateikopien über die Zwischenablage - wenn der Tagesdatensatz viele über die Zwischenablage kopierte Dateien enthält.
  • Große Datenmenge über die Zwischenablage kopiert - wenn die Datenmenge in den Details den Schwellenwert für eine große Kopie überschreitet.

Anomalie-Nachweise können aktuelle und Basiswerte der Kopien über die Zwischenablage, den Anstieg der Kopien, die Anzahl der Dateikopien, die Anzahl kopierter Dateien, die zuletzt kopierte Datei und die Größe der kopierten Daten enthalten. Bei großen Datenmengen beginnen Sie mit Datei und Pfad, bei Volumenanstiegen mit Computer und Mitarbeiter.

Datensatzdetails im Monitoring von Zwischenablage-Elementen

Nach dem Klick auf einen Datensatz zeigt die Anwendung Zwischenablage-Elemente, die für einen Tag und einen Computer aggregiert wurden. In den Details können separate Zeilen für Dateien sowie Sammelzeilen für Text, Bild oder Audio erscheinen. Dadurch sehen Sie nicht nur die Anzahl der Vorgänge, sondern auch den Datentyp und den Arbeitskontext.

In der Detailtabelle sollten Sie prüfen:

  • Identifikation des Zwischenablage-Inhalts: Element, Elementtyp, Dateityp und Erweiterung.
  • Kopierumfang: Kopiervorgänge, Datenmenge, von USB kopierte Dateien und kopierte Dateien laut Details.
  • Dateikontext: USB, Quellgerät, Dateipfad, Dateiname und Verzeichnis.
  • Programmkontext: Anwendung, Vordergrundfenster und Pfad der Vordergrund-Programmdatei.
  • technische Ereignisdaten: Vorgangstyp, Inhaltstyp, Format der Zwischenablage, Erkennungsquelle, Quelle und Quellentyp.
  • Zeit- und Benutzerrahmen: erstmals erkannt, zuletzt erkannt, aktive Stunden und Windows-Benutzer.

Eine stündliche Filterung ist für Details der Zwischenablage-Nutzung nicht verfügbar, weil die Maske der aktiven Stunden nur die Anwesenheit eines Ereignisses speichert und Zwischenablage-Zähler keinen einzelnen Stunden zuordnet. Behandeln Sie die Details daher als tägliche Zusammenfassung der Elemente, nicht als stündliches Protokoll jedes Kopiervorgangs.

Datenqualität im Monitoring der Zwischenablage-Nutzung

Der Bereich Datenqualität zeigt, ob Tageszusammenfassungen konsistente Details der Zwischenablage besitzen. Das ist wichtig, weil ein Datensatz Kopierzähler enthalten kann, ohne dass klar ist, welche Dateien oder Inhaltstypen das Ergebnis aufgebaut haben.

Im Panel sehen Sie:

  • Detailabdeckung - welcher Anteil der Datensätze verfügbare Zwischenablage-Details besitzt.
  • Datensätze ohne Details - Tage, an denen Zwischenablage-Daten sichtbar sind, aber die Liste der Elemente fehlt.
  • Aktuelle Teildatensätze - Einträge vom laufenden Tag, deren Werte noch zusammengeführt werden können.
  • Offene historische Datensätze - ältere Zwischenablage-Einträge, die nicht abgeschlossen wurden.
  • Ungültige Details - Fälle, in denen die Liste der Zwischenablage-Elemente eine beschädigte Struktur hat.
  • Tage ohne Daten - fehlende Tage im analysierten Zeitraum, für die keine Zwischenablage-Daten empfangen wurden.

Wenn eine Warnung nur für den aktuellen Tag erscheint, hängt sie meist mit laufender Verarbeitung zusammen. Betrifft sie abgeschlossene Tage, prüfen Sie den Agentenstatus, die Einstellungen für die Überwachung der Zwischenablage sowie die lokale Warteschlange und den Datenexport zum Backend.

Einstellungen für das Monitoring der Zwischenablage

Die Nutzung der Zwischenablage wird über Überwachungsprofile gesteuert. Der Agent verwendet Profileinstellungen erst, nachdem er die aktuelle Konfiguration auf den Computer geladen hat. Für diese Ansicht sind Einstellungen aus den Bereichen Dateien und Zwischenablage relevant; beschrieben werden hier nur editierbare Optionen.

Für die Ansicht Zwischenablage sind am wichtigsten:

  • Überwachung der Zwischenablage - aktiviert die Erfassung von Aktivitätsdaten der Zwischenablage.
  • Überwachung von Dateiübertragungen - allgemeine Option für Dateiübertragungen; sie wird benötigt, wenn die Zwischenablage auch als Kanal für Dateibewegungen analysiert werden soll.
  • Überwachung von Dateiübertragungen über die Zwischenablage - erlaubt dem Agenten, Zwischenablage-Aktivität in Daten zu Dateiübertragungen aufzunehmen.
  • Korrelation von Dateiübertragungen über die Zwischenablage - verknüpft Zwischenablage-Ereignisse mit möglichen Dateiübertragungsvorgängen.
  • Korrelationszeitfenster der Zwischenablage (Sekunden) - legt fest, in welchem Zeitfenster Ereignisse zugeordnet werden können; in den Einstellungen ist der Wert auf 5-600 Sekunden begrenzt.

Wenn Sie nur die Anzahl der Textkopien interessiert, ist Überwachung der Zwischenablage die zentrale Option. Wenn Sie Dateien und mögliche Datenbewegungen analysieren, prüfen Sie auch Transfer- und Korrelationseinstellungen. Kehren Sie nach einer Profiländerung nach dem nächsten Monitoring-Tag zur Ansicht zurück und vergleichen Sie kopierte Dateien, USB-Daten und die Größe der kopierten Daten.