¿Cómo abrir la supervisión de auditoría USB?
Abre la vista desde Menu -> Monitoring -> Auditoría - USB. Esta página está pensada para controlar el estado diario de los dispositivos de almacenamiento USB, es decir, el inventario automático del almacenamiento extraíble visible en los equipos. No es un historial de copia de archivos ni mide el tiempo de uso de un dispositivo. Es un snapshot que muestra qué dispositivos USB encontró el agente en un día concreto y qué parámetros técnicos se guardaron.
Usa esta vista cuando quieras revisar Dispositivos USB, Dispositivos conectados, Tamaño total, Espacio libre total, Porcentaje de espacio libre, estado del dispositivo, Número de serie, modelo, Proveedor, Unidad, Volumen y Decisión de política. Una auditoría USB ayuda a evaluar si aparecieron nuevos medios portátiles en los equipos, si su capacidad resulta inusual y si el Bloqueo de almacenamiento USB reconoció el dispositivo como se esperaba.
La página se compone del panel analítico y de la sección de detalles de la entrada seleccionada. El panel se describe más abajo porque sus tarjetas, rankings y gráficos se leen de forma distinta a una tabla simple. En esta tabla, una entrada representa el registro diario de supervisión de una máquina. Al abrir una fila, la aplicación muestra los detalles de ese día para el equipo y el empleado seleccionados, divididos por dispositivos USB concretos y agregados según las reglas de esta vista.
Tabla diaria en la supervisión del inventario USB
La tabla es el primer lugar para comprobar rápidamente si se detectó almacenamiento USB en un equipo y cuál es su estado actual. Las filas se ordenan desde las fechas más recientes, por lo que normalmente verás arriba los últimos snapshots recopilados por los agentes.
Las columnas visibles por defecto son:
- Dispositivos USB - el número de medios detectados en el registro diario.
- Dispositivos conectados - cuántos dispositivos tenían un estado que indicaba presencia o montaje.
- Tamaño total - la capacidad combinada del almacenamiento USB en una unidad legible.
- Espacio libre - el espacio disponible total en los dispositivos detectados.
La configuración de la tabla también contiene campos auxiliares, entre ellos dispositivos desconectados, bloqueados, permitidos, dispositivos con decisión de política desconocida, porcentaje de espacio libre, último modelo, último proveedor, último producto, última revisión, última unidad, último volumen, último formato de unidad, último tipo de unidad, último estado, último ID del dispositivo y último número de serie. Así puedes empezar con una vista sencilla y mostrar columnas más técnicas durante el análisis de un incidente.
Panel analítico en la supervisión del estado del almacenamiento USB
El panel analítico usa el registro más reciente de cada equipo dentro del intervalo de fechas seleccionado. Por eso no cuenta el mismo almacenamiento USB de varios días como dispositivos actuales separados. En su lugar, construye el último estado conocido de las máquinas incluidas en el filtro.
Las métricas más importantes del panel son:
- Dispositivos USB - el número de medios reconocidos en los últimos snapshots.
- Dispositivos conectados - dispositivos con estado listo, en línea, montado o conectado.
- Tamaño total - la capacidad combinada del almacenamiento USB detectado.
- Espacio libre total - cuánto espacio queda disponible en esos medios.
- Porcentaje de espacio libre - la proporción de espacio libre dentro de la capacidad total.
- Equipos y Empleados - el alcance cubierto por la agregación.
Un número alto de dispositivos con pocos equipos puede señalar puestos donde se conectan con frecuencia distintos medios. Una bajada del espacio libre es una señal para abrir los detalles del registro y revisar el dispositivo concreto, en vez de valorar la situación solo por la suma del panel.
Rankings en la supervisión de modelos y capacidad USB
Los rankings muestran qué medios, modelos y proveedores aparecen con más frecuencia en el periodo seleccionado. Para una auditoría USB es más práctico que revisar muchos equipos manualmente, porque los dispositivos recurrentes y los medios de mayor capacidad quedan visibles de inmediato.
En la pestaña de rankings puedes analizar:
- Dispositivos USB - medios reconocidos contados por identidad estable.
- Modelos USB - nombres de modelos leídos desde el identificador de hardware o los datos del sistema.
- Proveedores USB - fabricantes o proveedores del dispositivo, si el agente pudo determinarlos.
- Dispositivos USB por capacidad - dispositivos ordenados por tamaño.
- Dispositivos USB por menor espacio libre - elementos que requieren revisar espacio disponible.
- Equipos y Empleados - lugares donde la auditoría encontró más medios de almacenamiento.
Al interpretar el ranking, recuerda que el sistema agrupa entradas por número de serie, ID del dispositivo, clave del elemento o nombre visible. Por eso el ranking sirve para controlar la recurrencia de medios en la auditoría, no para contar cada operación individual de conexión.
Tendencias en la supervisión de cambios de capacidad USB
Las tendencias muestran cómo cambió con el tiempo el estado diario del almacenamiento USB. Como los datos tienen naturaleza de snapshot, los gráficos se leen mejor como un historial de inventario: si aparecieron dispositivos, si cambió la capacidad total y si baja la proporción de espacio libre.
Las series disponibles incluyen Dispositivos USB, Dispositivos conectados, Tamaño total, Espacio libre total, Porcentaje de espacio libre, Equipos y Empleados. Cambia de serie según la pregunta que quieras hacer a los datos: el número de medios explica la escala, la capacidad describe el tipo de dispositivo y el espacio libre apunta a una posible saturación.
Un aumento repentino del tamaño total puede indicar que se añadió una memoria USB grande o un disco externo. Si el número de dispositivos se mantiene parecido pero baja el porcentaje de espacio libre, abre los detalles del registro más reciente y localiza el medio responsable del cambio.
Comparaciones en la supervisión diaria de la auditoría USB
La pestaña Comparaciones coloca el periodo actual junto al periodo base. En una auditoría USB resulta especialmente útil después de cambiar reglas de almacenamiento, desplegar nuevos agentes o revisar la lista de dispositivos permitidos.
En las comparaciones, presta atención a:
- Dispositivos USB - si el número de medios detectados aumentó o disminuyó.
- Dispositivos conectados - si hubo más medios presentes en los últimos snapshots.
- Tamaño total - si aparecieron dispositivos de mayor capacidad.
- Espacio libre total y Porcentaje de espacio libre - si los medios se están llenando más.
- Equipos y Empleados - si la diferencia procede de un cambio en el alcance de datos.
Si el cambio afecta solo a la capacidad, empieza por el ranking de dispositivos por capacidad. Si aumenta el número de dispositivos conectados, revisa equipos y empleados para identificar dónde la auditoría encontró la mayor concentración de medios.
Anomalías en la supervisión de dispositivos USB y política de acceso
Las anomalías de esta vista buscan cambios que puedan indicar un nuevo medio, una capacidad distinta, poco espacio libre o una reacción del Bloqueo de almacenamiento USB. El mecanismo compara los snapshots más recientes de los equipos con el periodo base y además revisa los detalles de dispositivos guardados en el registro.
La vista puede informar de:
- El número de dispositivos USB cambió significativamente - el número actual difiere del valor base.
- La capacidad del almacenamiento USB cambió significativamente - el tamaño total superó el umbral de cambio respecto al periodo anterior.
- El espacio libre del almacenamiento USB es bajo - un dispositivo tiene un porcentaje bajo de espacio disponible.
- Se detectó un dispositivo de almacenamiento USB bloqueado - al menos un medio fue marcado como bloqueado por la política.
- La decisión de política USB es desconocida - la regla existe en el mecanismo, pero está desactivada por defecto.
En las evidencias de anomalía, revisa Número actual de dispositivos USB, Número base de dispositivos USB, Tamaño actual del almacenamiento USB, Tamaño base del almacenamiento USB, Cambio porcentual mínimo, Dispositivo USB, Nombre de la unidad, Número de serie, Espacio libre, Tamaño total, Porcentaje de espacio libre y Decisión de política. Estos campos ayudan a distinguir un cambio real de hardware de una detección diferente de Windows para el mismo medio.
Detalles del registro en la supervisión de la lista USB diaria
Después de hacer clic en un registro, la aplicación muestra la lista de dispositivos USB recopilados para un equipo y un día. Los detalles se ordenan por nombre de dispositivo, unidad y número de serie, así que resulta sencillo relacionar un medio visible con su identificador técnico.
Los detalles incluyen:
- Dispositivo USB - el nombre visible construido a partir del modelo, volumen, unidad, número de serie o identificador.
- Unidad y Volumen - la letra de unidad y la etiqueta, si estaban disponibles.
- Tipo de unidad, sistema de archivos, formato de unidad y estado del dispositivo.
- Tamaño, espacio libre y porcentaje de espacio libre.
- Número de serie, ID del dispositivo, modelo, proveedor, producto y revisión.
- Primera detección, última detección, horas activas, clave del elemento, máscara de horas activas, inicio del día y fin del día.
- Política, es decir, la decisión asociada al dispositivo: permitido, bloqueado o no resuelto.
Si varias filas de detalles parecen similares, revisa el número de serie y el ID del dispositivo. El parser intenta fusionar entradas del mismo medio, pero cuando los datos del sistema son incompletos, los identificadores estables siguen siendo la mejor referencia.
Calidad de datos en la supervisión de snapshots USB
La sección de calidad de datos indica si la lista de detalles coincide con el resumen diario. En una auditoría USB esto es importante porque el número de dispositivos, los estados de política y la capacidad total deben corresponder a los elementos guardados en los detalles del registro.
Los mensajes de calidad pueden indicar que algunos detalles salen de los límites del día, que el día actual todavía se está agregando, que un registro cerrado no contiene detalles o que la lista de dispositivos no coincide con los contadores del resumen. Si aparece una advertencia de este tipo, no trates el resultado como la lista definitiva de medios. Revisa primero el intervalo de fechas, el estado del agente y el momento del último procesamiento.
El gráfico de presencia horaria muestra el porcentaje de días supervisados en los que el snapshot de auditoría USB se guardó durante una hora local concreta. No representa el número de dispositivos ni el tiempo de uso de los medios. El filtrado por horas no está disponible porque ActiveHoursMask solo guarda la presencia del snapshot, sin asignar contadores USB a horas individuales.
Configuración de la supervisión de la auditoría USB
Los datos de la vista Auditoría USB están conectados con la sección USB de la configuración del perfil de supervisión. El interruptor editable más importante es Supervisión USB. Cuando está activado, el agente puede recopilar la información necesaria para el inventario diario de almacenamiento. Cuando está desactivado, la vista deja de recibir datos completos de almacenamiento USB.
En la misma sección se encuentran los ajustes de política de almacenamiento USB. Puedes activar Bloqueo de almacenamiento USB, elegir el comportamiento en Modo de bloqueo del almacenamiento USB y mantener la lista Dispositivos de almacenamiento USB permitidos. El modo puede funcionar como Bloquear dispositivos desconocidos o Bloquear todos excepto los permitidos, mientras que la lista de permitidos guarda identificadores de medios que deben seguir aceptados por la política.
El formulario también muestra elementos técnicos de supervisión USB, como discos lógicos USB, detección de discos PNP, cambios de volumen USB, eventos periódicos de visibilidad, intervalo de visibilidad, debounce de política y fallback de sondeo. En la configuración actual son de solo lectura: describen cómo trabaja el agente, pero no son opciones para cambiar manualmente. Después de modificar ajustes editables, vuelve a la vista tras el siguiente snapshot diario y revisa el número de dispositivos, las decisiones de política y los detalles del registro.