Audyt USB

Jak uruchomić monitoring audytu USB?

Widok otworzysz z poziomu ścieżki Menu -> Monitoring -> Audyt - USB. To strona przeznaczona do kontroli dziennego stanu nośników USB, czyli automatycznej inwentaryzacji pamięci masowych widocznych na komputerach. Nie jest to historia kopiowania plików ani analiza czasu pracy z urządzeniem, lecz snapshot pokazujący, jakie urządzenia USB agent odnalazł w danym dniu i jakie parametry techniczne udało się zapisać.

Uruchamiaj ten widok, gdy chcesz sprawdzić liczbę urządzeń USB, liczbę podłączonych urządzeń, całkowity rozmiar, całkowite wolne miejsce, procent wolnego miejsca, status nośnika, numer seryjny, model, dostawcę, dysk, wolumin oraz decyzję polityki. Audyt USB pomaga ocenić, czy na komputerach pojawiły się nowe pamięci przenośne, czy ich pojemność wygląda nietypowo i czy polityka blokowania rozpoznała nośnik zgodnie z oczekiwaniem.

Strona składa się z Panelu analitycznego oraz sekcji szczegółów wybranego wpisu. Opis panelu znajdziesz niżej, bo jego karty, rankingi i wykresy czyta się inaczej niż zwykłą tabelę. W tej tabeli pojedynczy wpis odpowiada dobowemu zapisowi monitoringu jednej maszyny. Gdy otworzysz wiersz, aplikacja pokaże szczegóły tego dnia dla wskazanego komputera i pracownika, rozbite na konkretne urządzenia USB oraz zagregowane według reguł tego widoku.

Tabela dzienna w monitorowaniu inwentaryzacji USB

Tabela jest pierwszym miejscem do szybkiego sprawdzenia, czy na komputerze wykryto nośniki USB i jak wygląda ich aktualny stan. Wiersze są sortowane od najnowszych dat, dlatego na górze zwykle zobaczysz ostatnie snapshoty zebrane przez agentów.

Domyślnie widoczne są kolumny:

Urządzenia USB - liczba wykrytych nośników w dziennym rekordzie.
Podłączone urządzenia - ile urządzeń miało status wskazujący obecność albo zamontowanie.
Całkowity rozmiar - suma pojemności nośników USB zapisana w czytelnej jednostce.
Wolne miejsce - łączna przestrzeń dostępna na wykrytych urządzeniach.

W konfiguracji tabeli dostępne są też pola pomocnicze, między innymi odłączone urządzenia, zablokowane urządzenia, dozwolone urządzenia, urządzenia z nieznaną decyzją polityki, procent wolnego miejsca, ostatni model, ostatni dostawca, ostatni produkt, ostatnia rewizja, ostatni dysk, ostatni wolumin, ostatni format dysku, ostatni typ dysku, ostatni status, ostatni identyfikator urządzenia i ostatni numer seryjny. Dzięki temu możesz zacząć od prostego przeglądu, a przy analizie incydentu odsłonić bardziej techniczne kolumny.

Panel analityczny w monitoringu stanu pamięci USB

Panel analityczny korzysta z najnowszego rekordu każdego komputera w wybranym zakresie dat. Dzięki temu nie sumuje tej samej pamięci USB z wielu dni jako osobnych aktualnych urządzeń, tylko buduje obraz ostatniego znanego stanu dla maszyn objętych filtrem.

Najważniejsze miary w panelu to:

Urządzenia USB - liczba nośników rozpoznanych w najnowszych snapshotach.
Podłączone urządzenia - urządzenia ze statusem gotowym, online, zamontowanym albo podłączonym.
Całkowity rozmiar - suma pojemności wykrytych pamięci USB.
Całkowite wolne miejsce - ile przestrzeni pozostaje dostępne na tych nośnikach.
Procent wolnego miejsca - udział wolnej przestrzeni w całkowitej pojemności.
Komputery i Pracownicy - zakres, którego dotyczy agregacja.

Wysoka liczba urządzeń przy małej liczbie komputerów może oznaczać stanowiska, do których często podpinane są różne nośniki. Z kolei spadek wolnego miejsca jest sygnałem, że warto wejść w szczegóły rekordu i sprawdzić konkretne urządzenie, zamiast oceniać sytuację wyłącznie po sumie w panelu.

Rankingi w monitorowaniu modeli i pojemności USB

Rankingi pokazują, które nośniki, modele i dostawcy pojawiają się najczęściej w wybranym okresie. Dla audytu USB jest to wygodniejsze niż ręczne przeglądanie wielu komputerów, bo od razu widać powtarzalne urządzenia oraz nośniki o największej pojemności.

W zakładce rankingów możesz analizować:

Urządzenia USB - listę rozpoznanych nośników zliczanych według stabilnej tożsamości.
Modele USB - nazwy modeli odczytane z identyfikatora sprzętowego albo danych systemowych.
Dostawcy USB - producentów lub dostawców urządzeń, jeśli agent mógł ich ustalić.
Urządzenia USB według pojemności - nośniki uporządkowane według rozmiaru.
Urządzenia USB według najmniejszej ilości wolnego miejsca - elementy wymagające sprawdzenia pod kątem miejsca.
Komputery i Pracownicy - ranking miejsc, w których audyt znalazł najwięcej nośników.

Przy interpretacji pamiętaj, że system grupuje wpisy po numerze seryjnym, identyfikatorze urządzenia, kluczu elementu albo nazwie wyświetlanej. Dlatego ranking służy do kontroli powtarzalności nośników w audycie, a nie do liczenia każdej pojedynczej operacji podłączenia.

Trendy w monitoringu zmian pojemności USB

Trendy pokazują, jak dzienny stan pamięci USB zmieniał się w czasie. Ponieważ dane mają charakter snapshotu, wykresy najlepiej czytać jako historię inwentaryzacji: czy przybyło urządzeń, czy zmieniła się suma pojemności i czy spada udział wolnego miejsca.

Dostępne serie obejmują Urządzenia USB, Podłączone urządzenia, Całkowity rozmiar, Całkowite wolne miejsce, Procent wolnego miejsca, Komputery oraz Pracowników. Przełączaj serie zależnie od pytania, które chcesz zadać danym: liczba nośników odpowiada na pytanie o skalę, pojemność o typ urządzeń, a wolne miejsce o możliwe zapełnienie.

Nagły wzrost całkowitego rozmiaru może oznaczać dodanie dużej pamięci przenośnej albo dysku zewnętrznego. Jeżeli liczba urządzeń pozostaje podobna, ale spada procent wolnego miejsca, sprawdź szczegóły najnowszego rekordu i znajdź nośnik, który odpowiada za zmianę.

Porównania w monitorowaniu dziennego audytu USB

Zakładka Porównania zestawia aktualny okres z okresem bazowym. W audycie USB jest to szczególnie pomocne po zmianie zasad korzystania z nośników, po wdrożeniu nowych agentów albo po przejrzeniu listy dozwolonych urządzeń.

W porównaniach zwróć uwagę na:

Urządzenia USB - czy liczba wykrytych nośników wzrosła albo spadła.
Podłączone urządzenia - czy więcej nośników było obecnych w najnowszych snapshotach.
Całkowity rozmiar - czy pojawiły się urządzenia o większej pojemności.
Całkowite wolne miejsce i Procent wolnego miejsca - czy nośniki są coraz bardziej zapełnione.
Komputery oraz Pracownicy - czy różnica wynika ze zmiany zakresu danych.

Jeżeli zmiana dotyczy tylko pojemności, zacznij od rankingu urządzeń według pojemności. Jeżeli rośnie liczba podłączonych urządzeń, sprawdź komputery i pracowników, aby ustalić, gdzie audyt wykrył największą koncentrację nośników.

Anomalie w monitoringu urządzeń USB i polityki dostępu

Anomalie w tym widoku szukają zmian, które mogą oznaczać nowy nośnik, inną pojemność, zapełnienie pamięci albo reakcję polityki blokowania. Mechanizm porównuje najnowsze snapshoty komputerów z okresem bazowym i dodatkowo sprawdza szczegóły urządzeń zapisanych w rekordzie.

Widok może zgłosić między innymi:

Liczba urządzeń USB znacząco się zmieniła - bieżąca liczba nośników różni się od wartości bazowej.
Pojemność pamięci USB znacząco się zmieniła - suma rozmiarów przekroczyła próg zmiany względem poprzedniego okresu.
Mało wolnego miejsca na pamięci USB - urządzenie ma niski procent wolnej przestrzeni.
Wykryto zablokowany nośnik USB - co najmniej jedno urządzenie zostało oznaczone jako zablokowane przez politykę.
Decyzja polityki USB jest nieznana - reguła istnieje w mechanizmie, ale domyślnie jest wyłączona.

W dowodach anomalii sprawdzaj bieżącą liczbę urządzeń USB, bazową liczbę urządzeń USB, bieżący rozmiar nośników USB, bazowy rozmiar nośników USB, minimalną zmianę procentową, urządzenie USB, nazwę dysku, numer seryjny, wolne miejsce, całkowity rozmiar, procent wolnego miejsca i decyzję polityki. Te pola pomagają odróżnić realną zmianę sprzętu od innego sposobu wykrycia tego samego nośnika przez Windows.

Szczegóły rekordu w monitorowaniu dziennej listy USB

Po kliknięciu rekordu aplikacja pokazuje listę urządzeń USB zebranych dla jednego komputera i jednego dnia. Szczegóły są sortowane według nazwy urządzenia, dysku i numeru seryjnego, więc łatwo zestawić widoczny nośnik z jego identyfikatorem technicznym.

W szczegółach znajdziesz:

Urządzenie USB - nazwę wyświetlaną zbudowaną z modelu, woluminu, dysku, numeru seryjnego albo identyfikatora.
Dysk i Wolumin - oznaczenie litery dysku oraz etykietę, jeśli były dostępne.
Typ dysku, system plików, format dysku i status urządzenia.
Rozmiar, wolne miejsce i procent wolnego miejsca.
Numer seryjny, identyfikator urządzenia, model, dostawcę, produkt i rewizję.
Pierwsze wykrycie, ostatnie wykrycie, aktywne godziny, klucz elementu, maskę aktywnych godzin, początek dnia i koniec dnia.
Politykę, czyli decyzję powiązaną z urządzeniem: dozwolone, zablokowane albo nierozpoznane.

Jeżeli w szczegółach widzisz kilka wpisów wyglądających podobnie, sprawdź numer seryjny i identyfikator urządzenia. Parser próbuje scalić wpisy tego samego nośnika, ale przy niepełnych danych systemowych najlepszym punktem odniesienia pozostają stabilne identyfikatory.

Jakość danych w monitoringu snapshotów USB

Sekcja jakości danych informuje, czy lista szczegółów zgadza się z podsumowaniem dziennym. Przy audycie USB jest to ważne, ponieważ liczba urządzeń, statusy polityki i suma pojemności powinny odpowiadać elementom zapisanym w szczegółach rekordu.

Komunikaty jakości mogą wskazywać, że część szczegółów wychodzi poza granice doby, bieżący dzień jest nadal agregowany, zakończony rekord nie zawiera szczegółów albo lista urządzeń nie pasuje do liczników w podsumowaniu. Jeśli pojawi się takie ostrzeżenie, nie traktuj samego wyniku jako ostatecznej listy nośników, tylko sprawdź zakres dat, stan agenta oraz moment ostatniego przetworzenia danych.

Wykres obecności godzinowej pokazuje procent monitorowanych dni, w których snapshot audytu USB został zapisany w danej lokalnej godzinie. Nie przedstawia liczby urządzeń ani czasu użycia nośników. Filtrowanie po godzinach nie jest dostępne, ponieważ ActiveHoursMask przechowuje tylko obecność snapshotu, bez rozpisania liczników USB na pojedyncze godziny.

Ustawienia monitorowania audytu USB

Dane w widoku Audyt USB są powiązane z sekcją ustawień profilu dotyczącą USB. Najważniejszy edytowalny przełącznik to Monitorowanie USB. Po jego włączeniu agent może zbierać informacje potrzebne do dziennej inwentaryzacji nośników, a po wyłączeniu widok przestaje otrzymywać pełne dane o pamięciach USB.

W tej samej sekcji znajdują się ustawienia polityki pamięci USB. Edytowalne są Blokowanie pamięci USB, Tryb blokowania pamięci USB oraz Dozwolone pamięci USB. Tryb może działać jako Blokuj nieznane urządzenia albo Blokuj wszystkie poza dozwolonymi, a lista dozwolonych nośników pozwala wskazać identyfikatory urządzeń, które mają pozostać akceptowane przez politykę.

Formularz pokazuje również techniczne elementy monitorowania USB, takie jak monitorowanie dysków logicznych USB, monitorowanie dysków PNP USB, monitorowanie zmian woluminu USB, okresowe zdarzenia widoczności USB, interwał zdarzeń widoczności, debounce polityki i fallback odpytywania. W obecnej konfiguracji są one tylko do odczytu, więc opisują sposób pracy agenta, ale nie są opcjami do samodzielnej zmiany. Po zmianie ustawień edytowalnych wróć do widoku po kolejnym dziennym snapshotcie i sprawdź liczbę urządzeń, decyzje polityki oraz szczegóły rekordu.