Surveillance des modifications logicielles

Comment ouvrir la surveillance des modifications logicielles ?

Vous trouverez cette vue dans le menu de l’application : Menu -> Monitoring -> Modifications logicielles. Son rôle est de montrer ce qui s’est passé avec les logiciels sur les ordinateurs surveillés : quelles applications ont été installées, mises à jour, désinstallées, détectées comme tentatives d’installation ou arrêtées par une politique.

Cet écran est utile lorsque vous voulez vérifier si un nouveau programme est apparu dans l’environnement, si les mises à jour se déroulent comme prévu, si des utilisateurs tentent d’installer des outils non autorisés et si la désinstallation automatique a réellement été déclenchée. La surveillance des modifications logicielles relie donc le contrôle de sécurité à l’administration quotidienne.

La vue se compose d’un panneau analytique et d’un tableau d’enregistrements quotidiens. Le panneau permet de changer la plage de dates, le mode de calcul, les classements, les tendances, les comparaisons et les anomalies. Le tableau situé dessous affiche des enregistrements où un enregistrement correspond à une journée de surveillance pour un ordinateur. Après sélection, l’application ouvre les détails de cette journée pour l’ordinateur et l’employé indiqués, avec une ventilation par logiciel, éditeur, type de modification, versions, règle et informations de blocage.

Liste des enregistrements dans la surveillance des programmes modifiés

Le tableau est un registre quotidien des modifications enregistrées par les agents. Par défaut, il affiche les colonnes qui aident à distinguer rapidement une journée de mise à jour normale d’une journée avec des installations inhabituelles ou des blocages de politique.

Les principales colonnes visibles sont :

Logiciels modifiés - nombre d’éléments logiciels uniques détectés dans l’enregistrement.
Mis à jour - nombre de programmes pour lesquels l’agent a enregistré un changement de version.
Installations bloquées - nombre de tentatives d’installation détectées et arrêtées par les règles.
Logiciel le plus modifié - programme apparu le plus souvent dans l’enregistrement.

Les paramètres de colonnes peuvent afficher un contexte supplémentaire, notamment Installé, Désinstallé, Nombre d’événements, Tentatives d’installation, Tentatives de désinstallation automatique, Désinstallation automatique démarrée, Bloqué par la politique, Type de modification le plus fréquent, Dernier éditeur, Dernière clé de registre, Dernière action de règle et Message de désinstallation automatique.

La recherche couvre la date, l’ordinateur, l’agent, l’utilisateur Windows, le nom du logiciel, l’éditeur, le type de modification, la version, la clé de registre, le nom de règle, l’action de règle et le texte enregistré dans les détails. Vous pouvez ainsi retrouver une modification précise même si vous ne connaissez qu’un fragment du nom de l’application ou de la version précédente.

Panneau analytique pour la surveillance des mises à jour et installations

Le panneau analytique résume les données de la plage sélectionnée. Vous pouvez analyser un jour, une semaine, un mois ou une période personnalisée, puis choisir le mode de calcul : Total ou Moyenne quotidienne. Le premier mode affiche le volume total des modifications, le second aide à comparer des périodes de longueurs différentes.

Les indicateurs disponibles sont :

Logiciels uniques - nombre de programmes différents visibles dans les modifications.
Mis à jour - programmes dont la version a changé pendant la période analysée.
Installé - nouveaux éléments logiciels détectés sur les ordinateurs.
Désinstallé - programmes supprimés des postes surveillés.
Installations bloquées - tentatives d’installation ou lancements d’installateurs arrêtés par la politique.
Ordinateurs et Employés - portée des modifications dans l’environnement.

En pratique, il est préférable de lire ces valeurs ensemble. Une hausse des mises à jour peut être normale après une journée de déploiement de correctifs, mais une augmentation simultanée des installations, désinstallations et tentatives bloquées peut indiquer des actions manuelles d’utilisateurs ou une modification des politiques logicielles.

Classements dans la surveillance des modifications logicielles

Les classements montrent où les événements se concentrent. Dans la vue Modifications logicielles, ils sont particulièrement utiles, car le nombre d’événements seul ne dit pas encore s’il s’agit d’une application populaire, de nombreux éditeurs, d’un ordinateur précis ou d’un schéma plus large dans l’organisation.

Les synthèses disponibles comprennent :

Logiciels les plus modifiés - programmes avec le plus grand nombre d’événements de modification.
Types de modification - répartition des installations, mises à jour, désinstallations et autres types détectés.
Éditeurs - fournisseurs de logiciels présents dans les enregistrements.
Ordinateurs les plus actifs - postes avec le plus grand nombre de modifications.
Employés les plus actifs - utilisateurs associés au plus grand volume d’événements.

Une bonne méthode consiste à passer de la vue générale au détail. Vérifiez d’abord quel logiciel ou type de modification domine, regardez ensuite s’il concerne un seul éditeur, puis ouvrez l’ordinateur ou l’employé placé haut dans le classement.

Tendances et heures dans la surveillance des modifications logicielles

Les tendances montrent l’évolution des indicateurs au fil des jours. Vous pouvez observer séparément Logiciels uniques, Mis à jour, Installé, Désinstallé, Installations bloquées, Ordinateurs et Employés. Cette séparation aide à distinguer le trafic normal de mises à jour d’une vague soudaine de nouvelles installations ou de suppressions de logiciels.

Lors de l’analyse, observez notamment :

les jours où les installations augmentent sans hausse similaire des mises à jour,
les désinstallations qui apparaissent simultanément sur plusieurs ordinateurs,
les installations bloquées qui se répètent après une modification de profil de surveillance,
une forte hausse du nombre d’ordinateurs, car elle indique que la modification n’est pas un cas isolé.

Le graphique Présence horaire des modifications logicielles n’a pas le même sens qu’un compteur classique. Une heure marquée indique qu’au moins une modification logicielle a eu lieu pendant cette heure locale d’une journée surveillée. Ce n’est ni le nombre de modifications, ni le nombre d’installations, ni la durée du processus d’installation.

Comparaisons de périodes dans la surveillance des installations de programmes

Les comparaisons permettent de vérifier si la plage actuellement sélectionnée se comporte autrement que la période de référence précédente. Dans la surveillance des modifications logicielles, c’est particulièrement utile après l’introduction de nouvelles règles, la mise à jour de paquets d’entreprise ou le changement de profils attribués aux ordinateurs.

Il est préférable d’interpréter les comparaisons selon le type de modification :

une hausse de Mis à jour indique souvent des correctifs planifiés, mais il vaut mieux le confirmer avec le classement des logiciels,
une hausse de Installé peut signaler de nouveaux outils déployés par l’IT ou des installations effectuées par les utilisateurs,
une hausse de Désinstallé aide à repérer la suppression de programmes sur plusieurs postes,
une hausse de Installations bloquées peut montrer que les règles ont commencé à agir ou que les utilisateurs répètent des actions interdites,
une augmentation de Ordinateurs et Employés distingue un incident local d’un changement qui s’étend à une partie plus large de l’organisation.

Si la comparaison affiche un saut important, passez directement aux classements et aux détails de l’enregistrement. Vous y verrez le nom du programme, l’éditeur, la version précédente et actuelle, ainsi que la règle qui a pu arrêter l’installation.

Anomalies dans la surveillance des programmes modifiés

Les anomalies font ressortir les situations qu’il n’est pas nécessaire de chercher manuellement dans le tableau. Le système analyse à la fois l’évolution de toute la période par rapport à la période de comparaison et les enregistrements quotidiens où apparaissent des tentatives d’installation répétées ou une activité de désinstallation automatique.

Cette vue peut afficher notamment :

L’activité de modification logicielle a fortement augmenté - lorsque le nombre d’événements est nettement plus élevé qu’avant.
Tentatives répétées d’installation logicielle bloquées - lorsque la politique a arrêté plusieurs fois une installation ou le lancement d’un installateur.
Activité de désinstallation automatique de logiciel détectée - lorsque l’agent a déclenché le mécanisme de suppression selon une règle.
Un nouveau logiciel change fréquemment - lorsqu’un programme n’était pas présent dans la période précédente mais génère maintenant de nombreux événements.
Volume élevé de tentatives d’installation logicielle - lorsqu’une journée et un ordinateur contiennent un nombre inhabituellement élevé de tentatives d’installation.

Chaque anomalie contient des preuves, par exemple le nombre d’événements, les tentatives d’installation, le nom du logiciel, l’éditeur, la règle, l’ordinateur et l’utilisateur. Commencez par les anomalies liées à la politique et à la désinstallation automatique, car une décision du système peut déjà avoir influencé l’ordinateur.

Détails d’enregistrement dans la surveillance des versions logicielles

Après avoir cliqué sur un enregistrement, vous verrez la liste des éléments logiciels enregistrés pour une journée et un ordinateur. Les détails permettent de passer d’un compteur quotidien à un programme précis, son éditeur, sa version précédente, sa version actuelle et les données de règle si l’événement était lié à une politique.

Les détails peuvent inclure notamment :

Logiciel, Éditeur et Type de modification, c’est-à-dire l’identification de base de l’événement.
Version précédente et Version actuelle, utiles pour confirmer une mise à jour ou une modification d’installation.
Installations bloquées, Tentatives d’installation, Installé, Désinstallé et Mis à jour, c’est-à-dire les compteurs du programme concerné.
Règle, ID de la règle, Action de règle, Bloqué par la politique et Message de désinstallation automatique, c’est-à-dire le contexte de décision de la politique.
Clé de registre, Première détection, Dernière détection, Heures actives, Source, Type de source, Catégorie et Clé de l’élément, c’est-à-dire les données techniques de diagnostic.

Le filtrage horaire des détails de modifications logicielles ne répartit pas les compteurs par heure individuelle. Le masque d’activité conserve l’information de présence d’un événement dans l’heure ; les détails doivent donc être lus comme une liste quotidienne d’éléments, et non comme une chronologie complète de l’installateur.

Qualité des données dans la surveillance des modifications logicielles

Les indicateurs de qualité aident à vérifier si les résultats du panneau reposent sur des détails complets. C’est important, car un enregistrement quotidien peut contenir des nombres d’installations ou de mises à jour, tandis que la liste des programmes précis peut encore être en cours d’agrégation ou présenter un problème de structure.

Dans les sections de qualité et d’actualité, vous pouvez rencontrer notamment :

Couverture des détails - pourcentage d’enregistrements pour lesquels les détails de modification sont disponibles.
Enregistrements sans détails - jours où les compteurs indiquent une activité, mais où la liste des éléments n’est pas disponible.
Données en cours partielles - enregistrements du jour en cours qui peuvent encore se compléter.
Enregistrements historiques ouverts - jours plus anciens qui n’ont pas été clôturés correctement.
Détails non valides - enregistrements dont les détails de modification logicielle ont une structure incorrecte.
Jours sans données - jours écoulés de la plage sélectionnée sans données de surveillance des modifications logicielles.

Si l’avertissement concerne le jour en cours, il est généralement préférable d’attendre la fin de l’agrégation. S’il apparaît sur des enregistrements historiques clôturés, vérifiez l’agent, la synchronisation des données et la disponibilité de l’ordinateur pendant la période analysée.

Paramètres de surveillance des modifications logicielles

La configuration de cette vue provient des Profils de surveillance, dans la partie consacrée aux logiciels. Le profil détermine si l’agent doit analyser les logiciels, enregistrer les modifications, réagir aux tentatives d’installation et appliquer les règles de désinstallation automatique. Les nouveaux paramètres commencent à fonctionner sur les ordinateurs après réception de la configuration actuelle par l’agent ; un ordinateur sans attribution séparée utilise le profil par défaut.

Les options les plus importantes pour la vue Modifications logicielles sont :

Analyse des logiciels - permet à l’agent de construire l’image des logiciels installés qui sert de base à la détection ultérieure des modifications.
Surveillance des modifications de logiciels - active l’enregistrement des installations, mises à jour, désinstallations et autres modifications visibles dans ce rapport.
Surveillance des modifications de logiciels utilisateur - couvre les modifications effectuées dans le contexte utilisateur.
Surveillance des modifications de logiciels par le service - couvre les modifications détectées par le service de l’agent.
Blocage de l’installation de logiciels - permet de détecter et d’arrêter les installations selon les règles.
Désinstallation automatique des logiciels - permet aux règles de déclencher la suppression d’un programme lorsque les conditions de politique sont remplies.
Suppression silencieuse agressive des logiciels - renforce la suppression par des actions de nettoyage supplémentaires lorsque la désinstallation silencieuse ordinaire ne suffit pas.
Règles d’installation de logiciels - liste de règles dans laquelle vous définissez Nom, Type de correspondance, Valeur, Action, Commande de désinstallation silencieuse et Arguments de désinstallation silencieuse.

Les règles utilisant l’action de désinstallation automatique détecteront uniquement les logiciels tant que Désinstallation automatique des logiciels n’est pas activée. Après modification d’un profil, il est utile de revenir dans cette vue après le cycle de surveillance suivant et de vérifier si les installations bloquées, l’activité de désinstallation automatique et les classements logiciels correspondent à ce que la politique devait imposer.