Audit USB

Comment ouvrir la surveillance de l'audit USB ?

Ouvrez la vue depuis Menu -> Monitoring -> Audit - USB. Cette page sert à contrôler l'état quotidien des périphériques de stockage USB, c'est-à-dire l'inventaire automatique du stockage amovible visible sur les ordinateurs. Ce n'est pas un historique de copie de fichiers et elle ne mesure pas le temps d'utilisation d'un périphérique. Il s'agit d'un snapshot indiquant quels périphériques USB l'agent a trouvés un jour donné et quels paramètres techniques ont été enregistrés.

Utilisez cette vue pour vérifier les Périphériques USB, les Périphériques connectés, la Taille totale, l'Espace libre total, le Pourcentage d'espace libre, l'état du périphérique, le Numéro de série, le modèle, le Fournisseur, le Lecteur, le Volume et la Décision de politique. L'audit USB aide à déterminer si de nouveaux supports portables sont apparus sur les ordinateurs, si leur capacité semble inhabituelle et si le Blocage des périphériques de stockage USB a reconnu le support comme prévu.

La page se compose du panneau analytique et de la section de détails de l'entrée sélectionnée. Le panneau est décrit plus bas, car ses cartes, classements et graphiques se lisent autrement qu'un simple tableau. Dans ce tableau, une entrée représente l'enregistrement quotidien de surveillance d'une machine. Lorsque vous ouvrez une ligne, l'application affiche les détails de ce jour pour l'ordinateur et l'employé sélectionnés, répartis par périphériques USB et agrégés selon les règles de cette vue.

Tableau quotidien dans la surveillance de l'inventaire USB

Le tableau est le premier endroit où vérifier rapidement si un stockage USB a été détecté sur un ordinateur et quel est son état actuel. Les lignes sont triées depuis les dates les plus récentes, ce qui place généralement en haut les derniers snapshots collectés par les agents.

Les colonnes visibles par défaut sont :

Périphériques USB - le nombre de supports détectés dans l'enregistrement quotidien.
Périphériques connectés - le nombre de périphériques dont l'état indique une présence ou un montage.
Taille totale - la capacité combinée du stockage USB dans une unité lisible.
Espace libre - l'espace disponible total sur les périphériques détectés.

La configuration du tableau contient aussi des champs d'appui, notamment les périphériques déconnectés, bloqués, autorisés, ceux dont la décision de politique est inconnue, le pourcentage d'espace libre, le dernier modèle, le dernier fournisseur, le dernier produit, la dernière révision, le dernier lecteur, le dernier volume, le dernier format de lecteur, le dernier type de lecteur, le dernier état, le dernier identifiant du périphérique et le dernier numéro de série. Vous pouvez donc commencer par une vue simple puis afficher des colonnes plus techniques lors de l'analyse d'un incident.

Panneau analytique dans la surveillance de l'état du stockage USB

Le panneau analytique utilise l'enregistrement le plus récent de chaque ordinateur dans la plage de dates sélectionnée. Il ne compte donc pas le même stockage USB sur plusieurs jours comme des périphériques actuels séparés. Il construit plutôt le dernier état connu des machines incluses dans le filtre.

Les mesures les plus importantes du panneau sont :

Périphériques USB - le nombre de supports reconnus dans les derniers snapshots.
Périphériques connectés - les périphériques dont l'état est prêt, en ligne, monté ou connecté.
Taille totale - la capacité combinée du stockage USB détecté.
Espace libre total - l'espace qui reste disponible sur ces supports.
Pourcentage d'espace libre - la part de l'espace libre dans la capacité totale.
Ordinateurs et Employés - le périmètre couvert par l'agrégation.

Un nombre élevé de périphériques avec peu d'ordinateurs peut signaler des postes auxquels différents supports sont souvent connectés. Une baisse de l'espace libre invite à ouvrir les détails de l'enregistrement et à examiner le périphérique précis, plutôt qu'à juger uniquement à partir du total du panneau.

Classements dans la surveillance des modèles et capacités USB

Les classements indiquent quels supports, modèles et fournisseurs apparaissent le plus souvent dans la période choisie. Pour un audit USB, c'est plus pratique que de parcourir de nombreux ordinateurs, car les périphériques récurrents et les plus grandes capacités deviennent immédiatement visibles.

Dans l'onglet des classements, vous pouvez analyser :

Périphériques USB - les supports reconnus, comptés selon une identité stable.
Modèles USB - les noms de modèles lus depuis l'identifiant matériel ou les données du système.
Fournisseurs USB - les fabricants ou fournisseurs, si l'agent a pu les déterminer.
Périphériques USB par capacité - les périphériques classés par taille.
Périphériques USB par espace libre le plus faible - les éléments à vérifier sous l'angle de l'espace disponible.
Ordinateurs et Employés - les endroits où l'audit a trouvé le plus de supports.

Pour interpréter le classement, souvenez-vous que le système regroupe les entrées par numéro de série, identifiant du périphérique, clé d'élément ou nom affiché. Le classement sert donc à contrôler la récurrence des supports dans l'audit, pas à compter chaque opération de connexion.

Tendances dans la surveillance des changements de capacité USB

Les tendances montrent comment l'état quotidien du stockage USB évolue dans le temps. Comme les données sont des snapshots, les graphiques se lisent surtout comme un historique d'inventaire : apparition de périphériques, changement de capacité totale et baisse éventuelle de l'espace libre.

Les séries disponibles comprennent Périphériques USB, Périphériques connectés, Taille totale, Espace libre total, Pourcentage d'espace libre, Ordinateurs et Employés. Changez de série selon la question posée aux données : le nombre de supports explique l'échelle, la capacité décrit le type de support et l'espace libre signale un possible remplissage.

Une hausse soudaine de la taille totale peut indiquer l'ajout d'une grande clé USB ou d'un disque externe. Si le nombre de périphériques reste similaire mais que le pourcentage d'espace libre baisse, ouvrez les détails du dernier enregistrement et trouvez le support responsable de ce changement.

Comparaisons dans la surveillance quotidienne de l'audit USB

Dans l'onglet Comparaisons, la période actuelle est mise en regard de la période de référence. Dans un audit USB, c'est particulièrement utile après une modification des règles de stockage, le déploiement de nouveaux agents ou la révision de la liste des périphériques autorisés.

Dans les comparaisons, observez :

Périphériques USB - si le nombre de supports détectés a augmenté ou diminué.
Périphériques connectés - si davantage de supports étaient présents dans les derniers snapshots.
Taille totale - si des périphériques de plus grande capacité sont apparus.
Espace libre total et Pourcentage d'espace libre - si les supports se remplissent davantage.
Ordinateurs et Employés - si l'écart vient d'un changement de périmètre des données.

Si le changement concerne uniquement la capacité, commencez par le classement des périphériques par capacité. Si le nombre de périphériques connectés augmente, vérifiez les ordinateurs et les employés pour localiser la plus forte concentration de supports.

Anomalies dans la surveillance des périphériques USB et de la politique d'accès

Les anomalies de cette vue recherchent les changements pouvant indiquer un nouveau support, une capacité différente, un manque d'espace ou une réaction du Blocage des périphériques de stockage USB. Le mécanisme compare les derniers snapshots des ordinateurs à la période de référence et vérifie aussi les détails de périphériques enregistrés.

La vue peut signaler :

Le nombre de périphériques USB a fortement changé - le nombre actuel diffère de la valeur de référence.
La capacité du stockage USB a fortement changé - la taille totale dépasse le seuil de changement par rapport à la période précédente.
L'espace libre du stockage USB est faible - un périphérique présente un faible pourcentage d'espace disponible.
Un périphérique de stockage USB bloqué a été détecté - au moins un support a été marqué comme bloqué par la politique.
La décision de politique USB est inconnue - la règle existe dans le mécanisme, mais elle est désactivée par défaut.

Dans les preuves d'anomalie, vérifiez Nombre actuel de périphériques USB, Nombre de référence de périphériques USB, Taille actuelle du stockage USB, Taille de référence du stockage USB, Changement minimal en pourcentage, Périphérique USB, Nom du lecteur, Numéro de série, Espace libre, Taille totale, Pourcentage d'espace libre et Décision de politique. Ces champs aident à distinguer un vrai changement matériel d'une autre détection Windows du même support.

Détails d'enregistrement dans la surveillance de la liste USB quotidienne

L'ouverture d'un enregistrement affiche la liste des périphériques USB collectés pour un ordinateur et un jour. Les détails sont triés par nom de périphérique, lecteur et numéro de série, ce qui facilite le rapprochement entre un support visible et son identifiant technique.

Les détails comprennent :

Périphérique USB - le nom affiché construit à partir du modèle, du volume, du lecteur, du numéro de série ou de l'identifiant.
Lecteur et Volume - la lettre du lecteur et son libellé, s'ils sont disponibles.
Type de lecteur, système de fichiers, format de lecteur et état du périphérique.
Taille, espace libre et pourcentage d'espace libre.
Numéro de série, identifiant du périphérique, modèle, fournisseur, produit et révision.
Première détection, dernière détection, heures actives, clé d'élément, masque des heures actives, début du jour et fin du jour.
Règles de fonctionnement, c'est-à-dire la décision associée au périphérique : autorisé, bloqué ou non résolu.

Si plusieurs lignes de détail se ressemblent, vérifiez le numéro de série et l'identifiant du périphérique. Le parseur essaie de fusionner les entrées du même support, mais lorsque les données système sont incomplètes, les identifiants stables restent la meilleure référence.

Qualité des données dans la surveillance des snapshots USB

La section de qualité des données indique si la liste des détails correspond au résumé quotidien. Pour un audit USB, c'est important car le nombre de périphériques, les états de politique et la capacité totale doivent correspondre aux éléments enregistrés dans les détails.

Les messages de qualité peuvent indiquer que certains détails sortent des limites du jour, que le jour actuel est encore en cours d'agrégation, qu'un enregistrement fermé ne contient pas de détails ou que la liste des périphériques ne correspond pas aux compteurs du résumé. Si un tel avertissement apparaît, ne traitez pas le résultat comme la liste définitive des supports. Vérifiez d'abord la plage de dates, l'état de l'agent et l'heure du dernier traitement.

Le graphique de présence horaire montre le pourcentage de jours surveillés où le snapshot d'audit USB a été enregistré pendant une heure locale donnée. Il ne représente ni le nombre de périphériques ni le temps d'utilisation des supports. Le filtrage par heure n'est pas disponible, car ActiveHoursMask ne conserve que la présence du snapshot, sans affecter les compteurs USB à des heures individuelles.

Paramètres de la surveillance de l'audit USB

Les données de la vue Audit USB sont liées à la section USB des paramètres du profil de surveillance. Le commutateur modifiable le plus important est Surveillance USB. Lorsqu'il est activé, l'agent peut collecter les informations nécessaires à l'inventaire quotidien du stockage. Lorsqu'il est désactivé, la vue ne reçoit plus les données USB complètes.

La même section contient les paramètres de politique du stockage USB. Vous pouvez activer le Blocage des périphériques de stockage USB, choisir le comportement dans Mode de blocage du stockage USB et compléter la liste Périphériques de stockage USB autorisés. Le mode peut fonctionner comme Bloquer les périphériques inconnus ou Tout bloquer sauf les périphériques autorisés, tandis que la liste autorisée conserve les identifiants des supports qui doivent rester acceptés par la politique.

Le formulaire affiche aussi des éléments techniques de surveillance USB, comme les disques logiques USB, la détection PNP, les changements de volume USB, les événements périodiques de visibilité, l'intervalle de visibilité, le debounce de politique et le fallback d'interrogation. Dans la configuration actuelle, ils sont en lecture seule : ils décrivent le fonctionnement de l'agent, mais ne sont pas des options à modifier manuellement. Après une modification des paramètres éditables, revenez dans la vue après le prochain snapshot quotidien et vérifiez le nombre de périphériques, les décisions de politique et les détails de l'enregistrement.