USB-Audit

Wie öffnen Sie die USB-Audit-Überwachung?

Öffnen Sie die Ansicht über Menu -> Monitoring -> Audit - USB. Diese Seite dient zur Prüfung des täglichen Zustands von USB-Speichergeräten, also der automatischen Inventarisierung von Wechselspeichern, die auf Computern sichtbar sind. Es handelt sich nicht um eine Kopierhistorie und auch nicht um eine Messung der Nutzungsdauer eines Geräts. Es ist ein Snapshot, der zeigt, welche USB-Geräte der Agent an einem bestimmten Tag gefunden hat und welche technischen Parameter gespeichert wurden.

Nutzen Sie diese Ansicht, wenn Sie USB-Geräte, verbundene Geräte, Gesamtgröße, gesamten freien Speicherplatz, Prozent freien Speicherplatz, Gerätestatus, Seriennummer, Modell, Anbieter, Laufwerk, Volume und Richtlinienentscheidung prüfen möchten. Ein USB-Audit hilft einzuschätzen, ob neue tragbare Speichermedien auf Computern erschienen sind, ob ihre Kapazität ungewöhnlich wirkt und ob das Sperren von USB-Speichern das Gerät wie erwartet erkannt hat.

Die Seite besteht aus dem Analysepanel und dem Detailbereich des ausgewählten Eintrags. Das Panel wird weiter unten beschrieben, weil seine Karten, Rankings und Diagramme anders gelesen werden als eine einfache Tabelle. In dieser Tabelle steht ein Eintrag für den täglichen Überwachungsdatensatz einer Maschine. Wenn Sie eine Zeile öffnen, zeigt die Anwendung die Details dieses Tages für den ausgewählten Computer und Mitarbeiter, aufgeteilt in einzelne USB-Geräte und nach den Regeln dieser Ansicht aggregiert.

Tägliche Tabelle in der Überwachung der USB-Inventarisierung

Die Tabelle ist der erste Ort für eine schnelle Prüfung, ob auf einem Computer USB-Speicher erkannt wurde und wie sein aktueller Zustand aussieht. Die Zeilen sind nach den neuesten Daten sortiert, sodass die letzten von Agenten gesammelten Snapshots gewöhnlich oben stehen.

Standardmäßig sichtbar sind:

USB-Geräte - die Anzahl der erkannten Speichermedien im täglichen Datensatz.
Verbundene Geräte - wie viele Geräte einen Status mit Anwesenheit oder Einbindung hatten.
Gesamtgröße - die kombinierte Kapazität der USB-Speicher in einer lesbaren Einheit.
Freier Speicherplatz - der gesamte verfügbare Platz auf den erkannten Geräten.

Die Tabellenkonfiguration enthält außerdem Hilfsfelder, darunter getrennte Geräte, gesperrte Geräte, erlaubte Geräte, Geräte mit unbekannter Richtlinienentscheidung, Prozent freier Speicherplatz, letztes Modell, letzter Anbieter, letztes Produkt, letzte Revision, letztes Laufwerk, letztes Volume, letztes Laufwerksformat, letzter Laufwerkstyp, letzter Status, letzte Geräte-ID und letzte Seriennummer. So können Sie mit einem einfachen Überblick beginnen und bei einer Vorfallanalyse technischere Spalten einblenden.

Analysepanel in der Überwachung des USB-Speicherzustands

Das Analysepanel verwendet den neuesten Datensatz jedes Computers im ausgewählten Datumsbereich. Dadurch wird derselbe USB-Speicher aus mehreren Tagen nicht als mehrere aktuelle Geräte gezählt. Stattdessen entsteht der letzte bekannte Zustand der Maschinen, die im Filter enthalten sind.

Die wichtigsten Kennzahlen im Panel sind:

USB-Geräte - die Anzahl der in den neuesten Snapshots erkannten Speichermedien.
Verbundene Geräte - Geräte mit dem Status bereit, online, eingebunden oder verbunden.
Gesamtgröße - die kombinierte Kapazität der erkannten USB-Speicher.
Gesamter freier Speicherplatz - wie viel Platz auf diesen Medien verfügbar bleibt.
Prozent freier Speicherplatz - der Anteil des freien Speicherplatzes an der Gesamtkapazität.
Computer und Mitarbeiter - der Umfang, auf den sich die Aggregation bezieht.

Viele Geräte bei nur wenigen Computern können auf Arbeitsplätze hinweisen, an denen häufig unterschiedliche Speichermedien angeschlossen werden. Ein Rückgang des freien Speicherplatzes ist ein Signal, die Datensatzdetails zu öffnen und das konkrete Gerät zu prüfen, statt die Situation nur anhand der Panelsumme zu beurteilen.

Rankings in der Überwachung von USB-Modellen und Kapazitäten

Rankings zeigen, welche Speichermedien, Modelle und Anbieter im ausgewählten Zeitraum am häufigsten vorkommen. Für einen USB-Audit ist das praktischer als das manuelle Durchsehen vieler Computer, weil wiederkehrende Geräte und Medien mit der größten Kapazität sofort sichtbar werden.

Im Ranking-Tab können Sie analysieren:

USB-Geräte - erkannte Speichermedien, gezählt nach stabiler Identität.
USB-Modelle - Modellnamen aus der Hardwarekennung oder aus Systemdaten.
USB-Anbieter - Hersteller oder Anbieter, sofern der Agent sie ermitteln konnte.
USB-Geräte nach Kapazität - nach Größe geordnete Geräte.
USB-Geräte nach geringstem freien Speicherplatz - Elemente, die hinsichtlich freier Kapazität geprüft werden sollten.
Computer und Mitarbeiter - Orte, an denen der Audit die meisten Speichermedien gefunden hat.

Bei der Interpretation sollten Sie beachten, dass das System Einträge nach Seriennummer, Geräte-ID, Elementschlüssel oder Anzeigename gruppiert. Das Ranking dient daher zur Kontrolle wiederkehrender Medien im Audit, nicht zum Zählen jeder einzelnen Anschlussaktion.

Trends in der Überwachung von USB-Kapazitätsänderungen

Trends zeigen, wie sich der tägliche Zustand der USB-Speicher im Zeitverlauf verändert hat. Da die Daten Snapshot-Charakter haben, liest man die Diagramme am besten als Inventarhistorie: ob Geräte hinzugekommen sind, ob sich die Gesamtgröße geändert hat und ob der Anteil freien Speicherplatzes sinkt.

Verfügbare Reihen sind USB-Geräte, Verbundene Geräte, Gesamtgröße, Gesamter freier Speicherplatz, Prozent freier Speicherplatz, Computer und Mitarbeiter. Wechseln Sie die Reihe je nach Frage an die Daten: Die Gerätezahl erklärt den Umfang, die Kapazität den Medientyp und freier Speicherplatz weist auf mögliche Auslastung hin.

Ein plötzlicher Anstieg der Gesamtgröße kann bedeuten, dass ein großer USB-Stick oder eine externe Festplatte hinzugefügt wurde. Wenn die Gerätezahl ähnlich bleibt, aber der Prozentwert freien Speicherplatzes fällt, öffnen Sie die Details des neuesten Datensatzes und finden Sie das Speichermedium, das die Änderung verursacht.

Vergleiche in der täglichen USB-Audit-Überwachung

Der Tab Vergleiche stellt den aktuellen Zeitraum dem Basiszeitraum gegenüber. Bei einem USB-Audit ist das besonders nützlich nach einer Änderung von Speicherregeln, nach der Bereitstellung neuer Agenten oder nach der Prüfung der Liste erlaubter Geräte.

Achten Sie in Vergleichen auf:

USB-Geräte - ob die Anzahl erkannter Speichermedien gestiegen oder gefallen ist.
Verbundene Geräte - ob in den neuesten Snapshots mehr Medien vorhanden waren.
Gesamtgröße - ob Geräte mit größerer Kapazität aufgetaucht sind.
Gesamter freier Speicherplatz und Prozent freier Speicherplatz - ob die Speichermedien stärker gefüllt werden.
Computer und Mitarbeiter - ob die Abweichung aus einem geänderten Datenumfang entsteht.

Wenn die Änderung nur die Kapazität betrifft, beginnen Sie mit dem Ranking der Geräte nach Kapazität. Wenn die Anzahl verbundener Geräte steigt, prüfen Sie Computer und Mitarbeiter, um die stärkste Konzentration von Speichermedien zu finden.

Anomalien in der Überwachung von USB-Geräten und Zugriffsrichtlinien

Anomalien in dieser Ansicht suchen nach Änderungen, die auf ein neues Medium, eine andere Kapazität, wenig freien Speicherplatz oder eine Reaktion des Sperrens von USB-Speichern hinweisen können. Der Mechanismus vergleicht die neuesten Computer-Snapshots mit dem Basiszeitraum und prüft zusätzlich die im Datensatz gespeicherten Gerätedetails.

Die Ansicht kann melden:

Anzahl der USB-Geräte hat sich deutlich geändert - die aktuelle Gerätezahl unterscheidet sich vom Basiswert.
USB-Speicherkapazität hat sich deutlich geändert - die Gesamtgröße hat den Änderungsschwellenwert gegenüber dem vorherigen Zeitraum überschritten.
Wenig freier Speicherplatz auf USB-Speicher - ein Gerät hat einen niedrigen Anteil verfügbaren Speicherplatzes.
Gesperrtes USB-Speichergerät erkannt - mindestens ein Medium wurde durch die Richtlinie als gesperrt markiert.
USB-Richtlinienentscheidung ist unbekannt - die Regel existiert im Mechanismus, ist aber standardmäßig deaktiviert.

Prüfen Sie in den Anomalienachweisen Aktuelle Anzahl der USB-Geräte, Basisanzahl der USB-Geräte, Aktuelle USB-Speichergröße, Basis-USB-Speichergröße, Minimale prozentuale Änderung, USB-Gerät, Laufwerksname, Seriennummer, Freier Speicherplatz, Gesamtgröße, Prozent freier Speicherplatz und Richtlinienentscheidung. Diese Felder helfen, eine echte Hardwareänderung von einer anderen Windows-Erkennung desselben Speichermediums zu unterscheiden.

Datensatzdetails in der Überwachung der täglichen USB-Liste

Nach dem Öffnen eines Datensatzes zeigt die Anwendung die Liste der USB-Geräte, die für einen Computer und einen Tag gesammelt wurden. Details sind nach Gerätename, Laufwerk und Seriennummer sortiert, sodass ein sichtbares Speichermedium leicht mit seiner technischen Kennung verbunden werden kann.

Die Details enthalten:

USB-Gerät - den Anzeigenamen aus Modell, Volume, Laufwerk, Seriennummer oder Kennung.
Laufwerk und Volume - den Laufwerksbuchstaben und die Bezeichnung, falls verfügbar.
Laufwerkstyp, Dateisystem, Laufwerksformat und Gerätestatus.
Größe, freier Speicherplatz und Prozent freier Speicherplatz.
Seriennummer, Geräte-ID, Modell, Anbieter, Produkt und Revision.
Erstmals gesehen, zuletzt gesehen, aktive Stunden, Elementschlüssel, Maske aktiver Stunden, Tagesbeginn und Tagesende.
Richtlinie, also die dem Gerät zugeordnete Entscheidung: erlaubt, gesperrt oder nicht aufgelöst.

Wenn mehrere Detailzeilen ähnlich aussehen, prüfen Sie Seriennummer und Geräte-ID. Der Parser versucht, Einträge desselben Speichermediums zusammenzuführen, aber bei unvollständigen Systemdaten bleiben stabile Kennungen der beste Bezugspunkt.

Datenqualität in der Überwachung von USB-Snapshots

Der Abschnitt Datenqualität informiert, ob die Detailliste zur täglichen Zusammenfassung passt. Beim USB-Audit ist das wichtig, weil Gerätezahl, Richtlinienstatus und Gesamtkapazität den in den Details gespeicherten Elementen entsprechen sollten.

Qualitätsmeldungen können darauf hinweisen, dass Details außerhalb der Tagesgrenzen liegen, der aktuelle Tag noch aggregiert wird, ein geschlossener Datensatz keine Details enthält oder die Geräteliste nicht zu den Zählern der Zusammenfassung passt. Wenn eine solche Warnung erscheint, behandeln Sie das Ergebnis nicht als endgültige Liste der Speichermedien. Prüfen Sie zuerst Datumsbereich, Agentenzustand und letzten Verarbeitungszeitpunkt.

Das Diagramm der stündlichen Präsenz zeigt den Prozentsatz überwachter Tage, an denen der USB-Audit-Snapshot in einer bestimmten lokalen Stunde gespeichert wurde. Es zeigt weder die Anzahl der Geräte noch die Nutzungsdauer der Speichermedien. Eine Stundenfilterung ist nicht verfügbar, weil ActiveHoursMask nur die Snapshot-Präsenz speichert, ohne USB-Zähler einzelnen Stunden zuzuordnen.

Einstellungen für die USB-Audit-Überwachung

Daten in der USB-Audit-Ansicht sind mit dem USB-Bereich der Überwachungsprofileinstellungen verbunden. Der wichtigste editierbare Schalter ist USB-Überwachung. Wenn er aktiviert ist, kann der Agent Informationen sammeln, die für die tägliche Speicherinventarisierung benötigt werden. Wenn er deaktiviert ist, erhält die Ansicht keine vollständigen USB-Speicherdaten mehr.

Im selben Bereich befinden sich die Richtlinieneinstellungen für USB-Speicher. Sie können Sperren von USB-Speichern aktivieren, im Sperrmodus für USB-Speicher das Verhalten auswählen und die Liste Erlaubte USB-Speichergeräte pflegen. Der Modus kann als Unbekannte Geräte sperren oder Alle außer erlaubten Geräten sperren arbeiten; die Liste erlaubter Geräte enthält Kennungen für Speichermedien, die von der Richtlinie akzeptiert bleiben sollen.

Das Formular zeigt außerdem technische Elemente der USB-Überwachung, etwa logische USB-Laufwerke, PNP-Datenträgererkennung, Volume-Änderungen, periodische Sichtbarkeitsereignisse, Sichtbarkeitsintervall, Richtlinien-Debounce und Polling-Fallback. In der aktuellen Konfiguration sind sie schreibgeschützt: Sie beschreiben die Arbeitsweise des Agents, sind aber keine manuell änderbaren Optionen. Kehren Sie nach einer Änderung editierbarer Einstellungen nach dem nächsten täglichen Snapshot zur Ansicht zurück und prüfen Sie Gerätezahl, Richtlinienentscheidungen und Datensatzdetails.