Surveillance de l’activité des fichiers

Comment ouvrir la surveillance de l’activité des fichiers ?

Ouvrez la vue depuis le menu de l’application : Menu -> Supervision -> Fichiers. Elle sert à analyser les événements de fichiers enregistrés par l’agent : créations, modifications, suppressions, renommages et événements dont le type n’a pas été reconnu clairement.

Cette vue est utile lorsque vous voulez savoir quels fichiers ont été manipulés le plus souvent, dans quels répertoires le travail s’est concentré, quelles extensions revenaient le plus fréquemment et si l’activité suivait un rythme normal ou ressemblait plutôt à un nettoyage, une modification massive ou une suppression de données. La surveillance des fichiers constitue un bon point de départ avant l’analyse des transferts, des documents et de l’activité USB.

L’écran associe un Panneau analytique à un tableau de relevés quotidiens. Le panneau parcourt les compteurs d’actions, classements de fichiers, répartitions par répertoire et extension, tendances, comparaisons, anomalies, présence horaire et qualité des détails. Chaque entrée du tableau correspond à un relevé quotidien d’activité de fichiers provenant d’un ordinateur. Après sélection, l’application ouvre les détails du poste et de l’employé, avec la liste des fichiers, actions, chemins, tailles, sources de détection et heures d’activité.

Tableau quotidien dans la surveillance des fichiers

Le tableau présente une synthèse quotidienne de l’activité des fichiers. Ses premières colonnes répondent à une question simple : la journée a-t-elle surtout été marquée par des créations, modifications, suppressions ou renommages ?

Les colonnes visibles en premier sont :

Fichiers uniques - nombre de fichiers différents reconnus dans l’activité.
Créé - nombre d’événements de création de fichier.
Modifié - nombre d’événements de modification de fichier.
Supprimé - nombre d’événements de suppression de fichier.
Renommés - nombre de renommages ou déplacements visibles comme changements de chemin.

Après avoir élargi les colonnes, vous pouvez consulter l’activité des fichiers, la taille, le fichier le plus actif, l’action la plus fréquente, l’extension, les parts d’actions, le dernier fichier, le dernier répertoire, le chemin complet et l’ancien chemin. Ces valeurs aident à distinguer un simple enregistrement de fichier d’une série plus large de changements dans un répertoire.

Le champ de recherche s’appuie sur l’identifiant de date, l’agent, le poste, le compte Windows, les marques horaires d’activité, les noms de fichiers, les extensions, les actions, les répertoires, les chemins complets, les anciens chemins et le contenu des détails. Avec un fragment de chemin, un nom de fichier ou une extension, vous pouvez réduire rapidement la liste aux jours pertinents.

Panneau analytique dans la surveillance des événements de fichiers

Le Panneau analytique agrège les données de la plage temporelle sélectionnée. L’analyse peut être placée sur le jour, la semaine, le mois ou une période personnalisée, avec des valeurs lues en Total ou en Moyenne quotidienne. La moyenne quotidienne est pratique lorsque les périodes comparées n’ont pas la même durée.

Les principales métriques du panneau sont :

Fichiers uniques - nombre de fichiers différents visibles dans les détails.
la répartition des actions de fichiers : créés, modifiés, supprimés et renommés.
Activité des fichiers - nombre total d’événements de fichiers dans la période analysée.
Taille des fichiers actifs - somme des tailles associées à l’activité des fichiers.
Ordinateurs et Employés - portée des données incluses dans l’analyse.

Il est préférable de lire le nombre d’événements avec la taille. Une activité élevée avec une faible taille peut indiquer de nombreux petits enregistrements, tandis que moins d’événements avec une taille importante peut signaler un travail sur des fichiers lourds. Si la part des suppressions est élevée, passez directement aux détails et au classement des actions.

Classements dans la surveillance des fichiers et répertoires

Les classements montrent précisément où l’activité s’est concentrée. Au lieu d’ouvrir chaque enregistrement, vous pouvez commencer par les fichiers, actions, extensions et répertoires ayant eu la plus grande part pendant la période sélectionnée.

Le panneau contient :

Principaux fichiers - fichiers avec le plus grand nombre d’événements.
Actions sur les fichiers - répartition de l’activité par type d’opération.
Extensions de fichiers - extensions apparaissant le plus souvent dans les événements.
Répertoires - emplacements du système de fichiers où l’activité était la plus élevée.
Ordinateurs les plus actifs et Employés les plus actifs - machines et comptes liés au plus grand nombre d’événements.

Si un répertoire utilisateur apparaît haut dans la liste, vérifiez les extensions et les actions. Si un répertoire système ou applicatif domine, le résultat peut venir d’un programme, d’une mise à jour ou d’un processus en arrière-plan. Le croisement du répertoire, de l’action et du dernier chemin donne le contexte nécessaire pour juger si les événements sont normaux pour cet ordinateur.

Tendances et présence horaire dans la surveillance des fichiers

Les tendances montrent l’évolution de l’activité des fichiers jour après jour. Les séries séparées couvrent les fichiers uniques, créations, modifications, suppressions, renommages, activité totale des fichiers, taille d’activité, ordinateurs et employés.

Lors de l’analyse des tendances, vérifiez :

si l’augmentation des événements concerne une seule action ou tous les types d’opérations à la fois,
si la taille d’activité augmente en même temps que le nombre d’événements,
si les suppressions apparaissent comme un pic isolé ou comme un motif répété,
si les renommages sont liés à des changements de répertoires ou d’anciens chemins.

Le graphique Présence horaire montre les heures locales pendant lesquelles une activité des fichiers est apparue dans les jours analysés. Ce n’est ni un compteur d’événements, ni une somme de tailles de fichiers. Une heure marquée indique seulement que l’agent a enregistré au moins une occurrence d’activité à ce moment.

Comparaisons dans la surveillance des changements de fichiers

L’onglet des comparaisons rapproche la période actuelle d’une période de référence. Dans la vue Fichiers, il est particulièrement utile pour évaluer rapidement si le nombre d’événements a augmenté, si le type d’opération a changé ou si l’activité s’est déplacée vers d’autres types de fichiers.

Dans la comparaison, vérifiez :

une hausse de Activité des fichiers, car elle montre le changement global d’échelle des événements,
une hausse de Supprimé, surtout lorsque les suppressions étaient faibles auparavant,
une variation de Taille des fichiers actifs, car elle peut révéler un travail sur des fichiers plus volumineux,
l’écart dans le nombre de fichiers uniques, qui montre si l’activité était dispersée,
la variation du nombre d’ordinateurs et d’employés, afin de savoir si le phénomène concerne une personne ou une zone plus large.

Si la comparaison montre une hausse nette, identifiez d’abord l’action dominante. Vérifiez ensuite les classements de fichiers et de répertoires, puis ouvrez l’enregistrement dont l’activité est la plus forte. Vous y trouverez le chemin complet, l’ancien chemin et la source de détection.

Anomalies dans la surveillance de l’activité des fichiers

Les anomalies indiquent les situations où l’activité des fichiers dépasse le niveau habituel ou lorsqu’une part inhabituelle concerne les suppressions, la taille ou une nouvelle extension. Cette section est utile pour un premier examen du risque avant de parcourir manuellement de nombreux enregistrements.

Le mécanisme d’anomalies comprend :

L’activité des fichiers a fortement augmenté - lorsque le nombre d’événements de la période actuelle dépasse clairement celui de la période de comparaison.
Le volume de suppressions de fichiers a fortement augmenté - lorsque les suppressions quotidiennes ou périodiques augmentent plus fortement que l’activité habituelle.
Volume important d’activité des fichiers détecté - lorsqu’un fichier précis accumule une taille d’activité élevée.
Une nouvelle extension de fichier a une part d’activité élevée - lorsqu’une extension absente auparavant commence à dominer les événements actuels.

Les preuves d’anomalie peuvent inclure les événements de fichiers actuels et de référence, les fichiers supprimés actuels et de référence, l’augmentation minimale en pourcentage, les événements de fichiers, la taille des fichiers actifs, le chemin du fichier, l’extension et la part d’activité. Pour les suppressions, commencez par la liste des fichiers et le répertoire ; pour une nouvelle extension, vérifiez si elle est attendue dans le profil de travail de l’équipe.

Détails de l’enregistrement dans la surveillance des opérations de fichiers

Lorsque vous sélectionnez une ligne, Codenica ouvre les détails d’activité des fichiers agrégés pour une journée et un ordinateur. Les événements répétés du même fichier sont regroupés, donc une ligne de détail montre le total des actions et le dernier contexte connu du fichier.

Dans le tableau de détails, vérifiez :

l’identification du fichier : fichier, extension, répertoire, chemin complet et ancien chemin.
le type d’opération : Action, créé, modifié, supprimé, renommé et inconnu.
l’échelle : Activité des fichiers, taille et part de l’activité.
le contexte source : source de détection, catégorie, source, type de source et clé de l’élément.
le contexte temporel et utilisateur : première trace, dernière trace, heures actives et utilisateur Windows.

Les détails d’activité des fichiers ne proposent pas de filtrage horaire, car le masque des heures actives enregistre uniquement la présence d’un événement. Il ne répartit pas les compteurs de créations, modifications, suppressions ni la taille entre les heures individuelles ; les détails doivent donc être lus comme une image quotidienne de l’activité des fichiers.

Qualité des données dans la surveillance de l’activité des fichiers

La section qualité des données aide à évaluer si les synthèses quotidiennes disposent de détails de fichiers cohérents. C’est important, car le nombre d’événements seul ne suffit pas lorsque les chemins, actions ou répertoires manquent.

Dans cette partie du panneau, vérifiez :

Couverture des détails - part des enregistrements avec une liste de fichiers disponible.
Enregistrements sans détails - jours où des compteurs d’activité existent, mais sans éléments détaillés.
Données partielles actuelles - entrées du jour pouvant encore attendre une agrégation complète.
Enregistrements historiques ouverts - anciens enregistrements restés ouverts.
Détails non valides - cas de structure détaillée endommagée ou illisible.
Jours sans données - jours manquants dans la plage temporelle sélectionnée.

Un avertissement sur le jour en cours provient souvent d’une agrégation encore active. Lorsque le message concerne des dates déjà clôturées, vérifiez l’état de l’agent, le profil de surveillance, les dossiers et extensions surveillés ainsi que le bon export des données vers le backend.

Paramètres de surveillance de l’activité des fichiers

Les données de la vue Fichiers dépendent des paramètres dans les Profils de surveillance. Après un changement de profil, la nouvelle configuration doit parvenir à l’agent de l’ordinateur avant d’influencer les enregistrements suivants. Pour cette vue, les options modifiables de la section d’activité des fichiers sont importantes.

Dans ce contexte, contrôlez surtout :

Surveillance de l’activité des fichiers - active la collecte des événements de fichiers visibles dans cette vue.
Extensions de fichiers surveillées - définit les types de fichiers à observer ; la liste influence les extensions visibles dans le tableau, les classements et les détails.
Dossiers utilisateur surveillés - indique les dossiers du profil utilisateur inclus dans l’observation, par défaut Desktop, Documents et Downloads.

Si des fichiers attendus manquent dans la vue, commencez par vérifier si Surveillance de l’activité des fichiers est active dans le profil. Comparez ensuite l’extension et le répertoire manquants avec les paramètres du profil. Analyse des documents se trouve dans la même section de paramètres, mais concerne surtout la vue Documents, pas le registre de base de l’activité des fichiers.