Surveillance de l’utilisation USB

Comment ouvrir la supervision de l’utilisation USB ?

Ouvrez la vue depuis le menu de l’application : Menu -> Supervision -> USB. Elle sert à observer l’utilisation des périphériques USB sur les ordinateurs couverts par l’agent : connexions, déconnexions, détections répétées, modèles reconnus, numéros de série, lettres de lecteurs, volumes, formats et types de lecteurs.

Cette vue est utile lorsque vous voulez vérifier si des supports USB sont apparus sur un poste, si un même périphérique a été reconnecté à plusieurs reprises, si de nouveaux supports sont apparus dans l’organisation ou si l’activité USB se concentre sur certains ordinateurs. La supervision de l’utilisation USB ne décrit pas les décisions de blocage. Elle montre les traces factuelles de présence et de changement d’état des périphériques.

L’écran est organisé autour du panneau analytique, de la liste quotidienne et du bloc de détails. Le panneau regroupe les compteurs de changements de connexion, les périphériques uniques, les connexions, les déconnexions, les classements, les courbes, les écarts, les anomalies, l’activité par heure et les messages de qualité. Une entrée de la liste correspond à un enregistrement quotidien d’activité USB pour un ordinateur précis. À son ouverture, vous consultez les informations détaillées du jour sélectionné, du poste et de l’employé, agrégées par périphériques USB reconnus et par leurs paramètres techniques.

Tableau quotidien dans la surveillance des périphériques USB

Le tableau quotidien permet de déterminer rapidement si un ordinateur a eu une activité USB un jour donné et quelle était l’intensité des changements d’état des périphériques. Dans la vue de base, les colonnes les plus importantes sont les compteurs qui décrivent l’échelle de l’activité sans ouvrir immédiatement les détails de chaque support.

Les colonnes par défaut comprennent :

Périphériques USB uniques - le nombre de périphériques reconnus logiquement dans l’enregistrement.
Changements de connexions USB - la somme des connexions et déconnexions détectées pendant la journée.
Connecté - le nombre d’événements où un périphérique a été observé comme connecté.
Déconnecté - le nombre d’événements liés à la perte ou à la fin d’une connexion.

Après avoir étendu le tableau, vous pouvez aussi ajouter le nombre de périphériques USB, le dernier périphérique, le dernier lecteur, le dernier volume et le dernier numéro de série. La recherche couvre la date, l’identifiant de l’agent, l’ordinateur, l’utilisateur Windows, les heures actives, le nom du lecteur, le volume, les identifiants de périphériques, les numéros de série et le contenu des détails. Cela permet de retrouver un enregistrement à partir d’un simple fragment d’étiquette de volume ou d’un numéro de série connu.

Panneau analytique dans la supervision de présence USB

Le panneau analytique rassemble les données de la plage temporelle sélectionnée. Les périodes disponibles couvrent le jour, la semaine, le mois et l’intervalle personnalisé, avec une lecture en Total ou en Moyenne quotidienne. Le total montre toute l’activité de la période ; la moyenne quotidienne sert surtout à rapprocher des intervalles de durée différente.

Les principales métriques du panneau sont :

Changements de connexions USB - le nombre total de connexions et de déconnexions.
Périphériques USB uniques - le nombre de périphériques reconnus après déduplication de l’identité.
Connecté et Déconnecté - des compteurs séparés pour les deux sens de changement d’état.
Ordinateurs et Employés - la couverture des postes et des utilisateurs visible dans l’analyse.

Ces métriques se lisent de préférence ensemble. Un nombre élevé de changements de connexion avec peu de périphériques uniques peut signifier que le même support a été reconnecté plusieurs fois. Une hausse des périphériques uniques avec un nombre modéré d’événements suggère plutôt l’apparition de nombreux supports différents qu’un port ou un périphérique instable.

Classements dans la surveillance des périphériques et supports USB

Les classements montrent où l’activité USB se concentre et quels périphériques représentent le plus grand nombre de changements de connexion. C’est un bon point de départ lorsque le tableau affiche beaucoup d’événements, mais qu’il n’est pas encore clair si le résultat vient d’un support, d’un ordinateur ou de plusieurs personnes.

Le panneau des classements contient :

Principaux périphériques USB - les périphériques triés selon le nombre de changements de connexion.
Types de lecteurs USB - la distribution des types de supports reconnus.
Formats de lecteurs USB - les systèmes de fichiers ou formats visibles dans les données des périphériques.
Ordinateurs les plus actifs - les postes avec le plus grand nombre d’événements USB.
Employés les plus actifs - les utilisateurs associés à l’activité la plus élevée.

Lors de l’analyse du classement des périphériques, ne vous fiez pas uniquement au nom du modèle. Des supports USB similaires peuvent avoir le même nom commercial. Dans les détails, il est donc utile de vérifier le numéro de série, le volume, la lettre du lecteur et les identifiants techniques. La distribution des types et des formats aide à déterminer si les données sont dominées par des supports amovibles classiques ou si d’autres classes de périphériques apparaissent.

Tendances d’utilisation USB dans la supervision des ordinateurs

Les tendances montrent comment l’activité USB a évolué au fil des jours de la période sélectionnée. Des séries séparées couvrent les changements de connexions USB, les périphériques uniques, les connexions et les déconnexions. Vous pouvez ainsi voir si une hausse est ponctuelle ou si elle dure plusieurs jours.

Lors de la lecture des tendances, vérifiez :

si un pic de changements de connexion apparaît en même temps qu’une hausse des périphériques uniques,
si les connexions et les déconnexions augmentent à un rythme similaire,
si l’activité apparaît après une modification de profil de supervision ou après l’ajout de nouveaux postes,
si plusieurs ordinateurs ont un rythme d’événements comparable ou si une seule machine ressort,
si la présence de nouveaux supports apparaît le même jour que des transferts de fichiers inhabituels.

Le graphique Présence horaire montre le pourcentage de jours supervisés pendant lesquels l’agent a observé une activité USB à une heure locale donnée. Ce n’est ni un nombre d’événements, ni une distribution des connexions, ni une durée d’utilisation du périphérique. Une heure marquée signifie seulement qu’une trace d’activité USB était présente pendant cette heure.

Comparaisons dans la surveillance de l’activité USB

La zone de comparaison affiche les résultats actuels à côté des données de référence. Dans la vue USB, elle permet de voir rapidement si le nombre de changements de connexion a augmenté, si davantage de périphériques uniques sont apparus et si l’activité concerne plus d’ordinateurs ou d’employés.

Lors de l’analyse des comparaisons, faites attention à :

une hausse des Changements de connexions USB, car elle montre l’évolution générale de l’intensité de l’activité.
une hausse des Périphériques USB uniques, surtout lorsque la période précédente avait un nombre de supports stable.
la différence entre Connecté et Déconnecté, afin de repérer des séries inhabituelles de changements d’état.
l’évolution du nombre d’ordinateurs, car la même hausse d’événements n’a pas le même sens sur un poste unique et dans tout un service.
l’évolution du nombre d’employés, lorsque vous voulez savoir si l’activité USB s’étend à davantage de comptes utilisateurs.

Si la période actuelle s’écarte nettement de la référence, commencez par le classement des périphériques, puis passez aux ordinateurs. Seuls les détails de l’enregistrement montreront si la hausse vient d’un nouveau périphérique, d’un support souvent reconnecté ou de quelques événements ordinaires répartis entre plusieurs postes.

Anomalies dans la supervision de l’utilisation des périphériques USB

Les anomalies indiquent des situations qui diffèrent de la période de comparaison ou qui atteignent les seuils des règles. Dans cette vue, le mécanisme se concentre sur l’augmentation des changements de connexion et sur les périphériques absents de la période précédente.

Le panneau peut notamment afficher :

Les changements de connexions USB ont augmenté - lorsque le nombre de connexions et déconnexions pour un ordinateur ou un employé est nettement plus élevé qu’auparavant.
Nouveau périphérique USB détecté - lorsqu’un périphérique apparaît dans la période actuelle alors qu’il était absent des données de comparaison.
des preuves liées au nombre de connexions, de déconnexions, au niveau précédent de changements et à la dernière action du périphérique.

Pour un nouveau périphérique, vérifiez le modèle, le numéro de série, le volume et la lettre du lecteur. Pour une hausse des changements de connexion, il est plus important d’établir si les événements concernent un seul support ou plusieurs périphériques. Si le même support apparaît de nombreuses fois sur une courte période, cela peut indiquer une reconnexion normale, un problème de port USB ou un travail sur un support instable.

Détails d’un enregistrement dans la surveillance des paramètres USB

Après avoir cliqué sur un enregistrement, l’application affiche les périphériques USB collectés pour une journée et un ordinateur. Les détails sont dédupliqués en périphériques logiques afin que plusieurs traces du même support ne créent pas artificiellement de nombreuses lignes séparées.

Dans le tableau de détails, vérifiez :

l’identification du périphérique : Modèle, Numéro de série, Périphérique, Identifiant du périphérique et PnP Device ID.
les informations du lecteur : Lecteur, Volume, Type de lecteur, Format du lecteur et numéro de série du volume.
les compteurs d’événements : changements de connexions USB, Connecté et Déconnecté.
la capacité du support : Taille totale, Espace libre disponible et Pourcentage d’espace libre.
le temps de visibilité : Première détection, Dernière détection et Heures actives.

Le tri par modèle est le tri par défaut, mais en pratique il est souvent préférable de commencer par le nombre de changements de connexion ou par la dernière détection. Le filtrage horaire n’est pas disponible pour les détails de cette vue, car le masque des heures actives enregistre la présence de l’activité et n’assigne pas les compteurs USB à des heures individuelles. Traitez donc les détails comme un résumé quotidien des périphériques, et non comme un journal minute par minute du support.

Qualité des données dans la supervision de l’utilisation USB

La partie qualité sert à vérifier si les journaux quotidiens USB possèdent assez de détails pour relier les chiffres du panneau à des supports précis. Dans la vue USB, c’est important, car les connexions et déconnexions seules ne suffisent pas à identifier le support réellement utilisé.

Le panneau de qualité peut signaler des détails manquants malgré la présence de compteurs, une structure de données invalide, des éléments avec des horodatages en dehors de la plage du jour, une agrégation partielle pour la journée en cours, des enregistrements anciens restés ouverts ou des jours sans données dans la période sélectionnée.

Si l’avertissement concerne l’enregistrement du jour, attendez la fin de l’agrégation et vérifiez de nouveau plus tard. Pour les journées clôturées, contrôlez le fonctionnement de l’agent, la disponibilité d’ItemsJson et la cohérence entre la liste des périphériques et les compteurs de changements de connexion. Ce n’est qu’après cette vérification qu’il faut comparer les périphériques entre ordinateurs ou tirer des conclusions sur une utilisation USB inhabituelle.

Paramètres de surveillance de l’utilisation USB

Les données de la vue USB dépendent de la configuration dans les Profils de supervision. Pour cette page, le principal contrôle modifiable est Surveillance USB, qui détermine si l’agent doit collecter les informations sur l’activité des périphériques USB sur l’ordinateur.

Les paramètres affichent aussi des options techniques liées aux sources de détection, comme Surveillance des disques logiques USB, Surveillance des disques USB PnP, Surveillance des modifications de volumes USB, Événements périodiques de présence des périphériques USB et Intervalle des événements de présence USB (secondes). Ces champs sont marqués en lecture seule ; dans une configuration de profil classique, l’utilisateur ne les modifie donc pas.

Si les données attendues n’apparaissent pas dans la vue USB, vérifiez d’abord que Surveillance USB est activée dans le profil. Assurez-vous ensuite que l’agent a téléchargé la configuration actuelle et attendez le prochain enregistrement quotidien. Ce n’est qu’ensuite qu’il faut comparer les enregistrements avec les vues de transfert de fichiers ou de blocage USB, car ces pages décrivent d’autres couches du travail avec les supports externes.