Monitorowanie aktywności plików

Jak uruchomić monitoring aktywności plików?

Widok uruchomisz z menu aplikacji: Menu -> Monitoring -> Pliki. Służy on do analizy zdarzeń plikowych rejestrowanych przez agenta: utworzeń, zmian, usunięć, zmian nazw oraz zdarzeń, których typ nie został jednoznacznie rozpoznany.

Ten widok warto otworzyć, gdy chcesz zobaczyć, które pliki były najczęściej ruszane, w jakich katalogach koncentrowała się praca, jakie rozszerzenia występowały najczęściej i czy aktywność plików miała zwykły rytm pracy, czy raczej wyglądała jak większa operacja porządkowania, masowa zmiana albo usuwanie danych. Monitoring plików jest dobrym punktem startowym przed analizą transferów, dokumentów i aktywności USB.

Strona zawiera Panel analityczny oraz tabelę rekordów. Panel prowadzi przez liczniki akcji, rankingi plików, rozkład po katalogach i rozszerzeniach, trendy, porównania, anomalie, obecność godzinową oraz jakość danych szczegółowych. Każdy wpis tabeli reprezentuje dzienny zapis aktywności plikowej z jednego komputera. Po wybraniu wpisu aplikacja otwiera szczegóły dla danego stanowiska i pracownika, z listą plików, akcjami, ścieżkami, rozmiarem, źródłem wykrycia i godzinami aktywności.

Tabela dzienna w monitorowaniu plików

Tabela pokazuje dzienne podsumowanie aktywności plikowej. Jej pierwsze kolumny odpowiadają na najprostsze pytanie: czy danego dnia dominowało tworzenie, modyfikowanie, usuwanie czy zmienianie nazw plików.

Najważniejsze kolumny widoczne od razu to:

Unikalne pliki - liczba różnych plików rozpoznanych w aktywności.
Utworzone - liczba zdarzeń utworzenia pliku.
Zmienione - liczba zdarzeń modyfikacji pliku.
Usunięte - liczba zdarzeń usunięcia pliku.
Zmieniono nazwę - liczba zdarzeń przemianowania lub przeniesienia widocznego jako zmiana ścieżki.

Po rozszerzeniu kolumn możesz sprawdzić aktywność plików, rozmiar, najaktywniejszy plik, najczęstszą akcję, rozszerzenie, udziały poszczególnych akcji, ostatni plik, ostatni katalog, pełną ścieżkę i poprzednią ścieżkę. Te dane pomagają odróżnić pojedynczy zapis pliku od większej serii zmian w katalogu.

Wyszukiwanie obejmuje datę, agenta, komputer, użytkownika Windows, aktywne godziny, nazwy plików, rozszerzenia, akcje, katalogi, pełne ścieżki, poprzednie ścieżki oraz treść danych szczegółowych. Jeżeli znasz fragment ścieżki, nazwę pliku albo rozszerzenie, możesz szybko zawęzić listę do właściwych dni.

Panel analityczny w monitoringu zdarzeń plikowych

Panel analityczny agreguje dane z wybranego zakresu czasu. Analizę możesz przełączać między dniem, tygodniem, miesiącem i zakresem własnym, a wartości czytać jako Suma albo Średnia dzienna. Średnia dzienna jest przydatna, gdy porównujesz okresy o różnej długości.

Główne metryki panelu to:

Unikalne pliki - liczba różnych plików widocznych w szczegółach.
podział akcji plikowych: utworzone, zmienione, usunięte i zmieniono nazwę.
Aktywność plików - łączna liczba zdarzeń plikowych w analizowanym okresie.
Rozmiar aktywnych plików - suma rozmiarów związanych z aktywnością plikową.
Komputery i Pracownicy - zasięg danych objętych analizą.

Dobrą praktyką jest czytanie liczby zdarzeń razem z rozmiarem. Wysoki wynik aktywności przy małym rozmiarze może oznaczać wiele drobnych zapisów, a mniejsza liczba zdarzeń z dużym rozmiarem może wskazywać pracę na cięższych plikach. Przy wysokim udziale usunięć przejdź od razu do szczegółów i rankingu akcji.

Rankingi w monitorowaniu plików i katalogów

Rankingi pozwalają zobaczyć, gdzie dokładnie skupiała się aktywność. Zamiast przeglądać każdy rekord osobno, możesz zacząć od plików, akcji, rozszerzeń i katalogów, które w wybranym okresie miały największy udział.

W panelu dostępne są:

Najważniejsze pliki - pliki z największą liczbą zdarzeń.
Akcje plików - rozkład aktywności według typu operacji.
Rozszerzenia plików - lista rozszerzeń najczęściej pojawiających się w zdarzeniach.
Katalogi - miejsca w systemie plików, w których aktywność była największa.
Najaktywniejsze komputery i Najaktywniejsi pracownicy - stanowiska oraz osoby powiązane z największą liczbą zdarzeń.

Jeżeli wysoko pojawia się katalog użytkownika, sprawdź rozszerzenia i akcje. Jeżeli dominuje katalog systemowy albo aplikacyjny, wynik może wynikać z pracy programu, aktualizacji lub procesu w tle. Dopiero połączenie katalogu, akcji i ostatniej ścieżki pozwala sensownie ocenić, czy zdarzenia są zwykłe dla danego komputera.

Trendy i obecność godzinowa w monitoringu plików

Trendy pokazują, jak zmieniała się aktywność plików dzień po dniu. Osobne serie obejmują unikalne pliki, utworzenia, zmiany, usunięcia, zmiany nazw, łączną aktywność plików, rozmiar aktywności oraz liczbę komputerów i pracowników.

Podczas analizy trendów zwróć uwagę na:

czy wzrost zdarzeń dotyczy jednej akcji, czy wszystkich typów operacji jednocześnie,
czy rozmiar aktywności rośnie razem z liczbą zdarzeń,
czy usunięcia pojawiają się jako pojedynczy skok, czy jako powtarzalny wzorzec,
czy zmiany nazw są połączone ze zmianą katalogów lub poprzednich ścieżek.

Wykres Obecność godzinowa pokazuje godziny lokalne, w których w analizowanych dniach pojawiła się aktywność plikowa. Nie jest to licznik zdarzeń ani suma rozmiaru plików. Zaznaczona godzina informuje tylko, że agent odnotował wtedy co najmniej jedno wystąpienie aktywności.

Porównania w monitorowaniu zmian plikowych

Zakładka porównań zestawia bieżący okres z okresem odniesienia. W widoku Pliki jest szczególnie przydatna, gdy chcesz szybko ocenić, czy wzrosła liczba zdarzeń, czy zmienił się charakter operacji albo czy aktywność przeniosła się na inne typy plików.

Przy porównaniu sprawdź:

wzrost Aktywność plików, bo pokazuje ogólną zmianę skali zdarzeń,
wzrost Usunięte, szczególnie gdy wcześniej usunięcia były niskie,
zmianę Rozmiar aktywnych plików, ponieważ może ujawnić pracę na większych plikach,
różnicę w liczbie unikalnych plików, która pokazuje, czy aktywność była rozproszona,
zmianę liczby komputerów i pracowników, aby ustalić, czy zjawisko dotyczy jednej osoby, czy większego obszaru.

Jeżeli porównanie pokazuje wyraźny wzrost, najpierw ustal dominującą akcję. Następnie sprawdź ranking plików i katalogów, a na końcu otwórz szczegóły rekordu z największą aktywnością. Tam zobaczysz pełną ścieżkę, poprzednią ścieżkę i źródło wykrycia.

Anomalie w monitoringu aktywności plikowej

Anomalie wskazują sytuacje, w których aktywność plików przekracza zwykły poziom albo pojawia się nietypowy udział usunięć, rozmiaru lub nowego rozszerzenia. To dobra sekcja do szybkiego przeglądu ryzyka przed ręcznym wejściem w dziesiątki rekordów.

Mechanizm anomalii obejmuje:

Aktywność plików znacząco wzrosła - gdy liczba zdarzeń w bieżącym okresie wyraźnie przewyższa okres porównawczy.
Liczba usunięć plików znacząco wzrosła - gdy dzienne lub okresowe usunięcia rosną mocniej niż typowa aktywność.
Wykryto duży wolumen aktywności plików - gdy konkretny plik zbiera duży rozmiar aktywności.
Nowe rozszerzenie pliku ma wysoki udział aktywności - gdy rozszerzenie nieobecne wcześniej zaczyna dominować w bieżących zdarzeniach.

W dowodach anomalii mogą pojawić się bieżące i bazowe zdarzenia plików, bieżące i bazowe usunięcia, minimalny wzrost procentowy, zdarzenia plików, rozmiar aktywnych plików, ścieżka pliku, rozszerzenie oraz udział aktywności. Przy usunięciach zacznij od listy plików i katalogu, a przy nowym rozszerzeniu od sprawdzenia, czy jest ono oczekiwane w profilu pracy danego zespołu.

Szczegóły rekordu w monitorowaniu operacji plikowych

Po kliknięciu rekordu aplikacja pokazuje szczegóły aktywności plikowej zagregowane dla jednego dnia i jednego komputera. Powtarzające się zdarzenia dla tego samego pliku są łączone, dlatego wiersz szczegółów pokazuje sumę akcji oraz ostatni znany kontekst pliku.

W tabeli szczegółów warto sprawdzić:

identyfikację pliku: plik, rozszerzenie, katalog, pełną ścieżkę i poprzednią ścieżkę.
typ operacji: Akcja, utworzone, zmienione, usunięte, zmieniono nazwę i nieznane.
skalę: Aktywność plików, rozmiar oraz udział aktywności.
kontekst źródłowy: źródło wykrycia, kategoria, źródło, typ źródła i klucz elementu.
czas i użytkownika: pierwsze wykrycie, ostatnie wykrycie, aktywne godziny oraz użytkownika Windows.

Filtrowanie godzinowe nie jest dostępne dla szczegółów aktywności plików, ponieważ maska aktywnych godzin zapisuje tylko obecność zdarzenia. Nie rozdziela liczników utworzeń, zmian, usunięć ani rozmiaru na pojedyncze godziny, więc szczegóły traktuj jako dzienny obraz aktywności plikowej.

Jakość danych w monitoringu aktywności plików

Sekcja jakości danych pomaga ocenić, czy podsumowania dzienne mają spójne szczegóły plików. Jest to ważne, bo sama liczba zdarzeń nie wystarczy, jeśli brakuje informacji o ścieżkach, akcjach albo katalogach.

W tej części panelu sprawdzisz:

Pokrycie szczegółów - udział rekordów z dostępną listą plików.
Rekordy bez szczegółów - dni, w których występują liczniki aktywności, ale nie ma pozycji szczegółowych.
Częściowe dane bieżące - wpisy z aktualnego dnia, które mogą jeszcze czekać na pełną agregację.
Otwarte rekordy historyczne - dawne wpisy, które pozostały w stanie otwartym.
Nieprawidłowe szczegóły - przypadki uszkodzonej lub nieczytelnej struktury danych szczegółowych.
Dni bez danych - brakujące dni w wybranym zakresie czasu.

Ostrzeżenie przy aktualnym dniu często wynika z trwającej agregacji. Gdy komunikat pojawia się przy datach już zamkniętych, sprawdź stan agenta, profil monitorowania, obserwowane foldery i rozszerzenia oraz poprawność eksportu danych do backendu.

Ustawienia monitorowania aktywności plików

Dane widoku Pliki zależą od ustawień w Profilach monitorowania. Po zmianie profilu nowa konfiguracja musi dotrzeć do agenta na komputerze, zanim wpłynie na kolejne rekordy. Dla tego widoku znaczenie mają edytowalne opcje z sekcji aktywności plików.

Najważniejsze ustawienia to:

Monitorowanie aktywności plików - włącza zbieranie zdarzeń plikowych widocznych w tym widoku.
Monitorowane rozszerzenia plików - określa, które typy plików mają być obserwowane; lista wpływa na to, jakie rozszerzenia pojawią się w tabeli, rankingach i szczegółach.
Monitorowane foldery użytkownika - wskazuje foldery profilu użytkownika objęte obserwacją, domyślnie Desktop, Documents i Downloads.

Jeżeli w widoku brakuje spodziewanych plików, zacznij od sprawdzenia, czy w profilu aktywne jest Monitorowanie aktywności plików. Następnie porównaj brakujące rozszerzenie i katalog z ustawieniami profilu. Opcja Analiza dokumentów znajduje się w tej samej sekcji ustawień, ale dotyczy przede wszystkim widoku Dokumenty, a nie podstawowego rejestru aktywności plików.