Monitorowanie transferów plików

Jak uruchomić monitoring transferów plików?

Widok uruchomisz z menu aplikacji: Menu -> Monitoring -> Pliki - transfery. Służy on do analizy przepływu plików rozpoznanego przez agenta, czyli sytuacji, w których plik został pobrany, wysłany, przeniesiony na nośnik, skopiowany przez schowek, przekazany jako załącznik lub powiązany z wydrukiem.

Ten widok warto otworzyć, gdy interesuje Cię nie tylko sama aktywność plikowa, ale kierunek ruchu danych. Monitoring transferów plików pomaga sprawdzić, które pliki były przesyłane najczęściej, czy dominowały transfery wychodzące, jak duży był łączny rozmiar transferu i czy pojawił się kanał, którego wcześniej nie było w obserwowanym okresie.

Strona składa się z Panelu analitycznego oraz tabeli rekordów. Panel pokazuje liczniki transferów, kanały, kierunki, rankingi plików, trendy, porównania, anomalie, obecność godzinową, jakość danych i aktualność agregacji. Każdy wiersz tabeli opisuje dzienny zapis transferów z jednego komputera. Po wybraniu rekordu aplikacja otwiera szczegóły stanowiska i pracownika, z podziałem na pliki, kanały, kierunki, ścieżki źródłowe i docelowe, urządzenia, domeny, aplikacje, e-maile, drukarki oraz pewność wykrycia.

Tabela dzienna w monitorowaniu transferów plików

Tabela dzienna pozwala szybko ocenić skalę ruchu danych bez wchodzenia w każdy plik osobno. Pierwsze kolumny pokazują, ile transferów wykryto, jaki był ich rozmiar oraz czy przeważał ruch wychodzący czy przychodzący.

Najważniejsze pola widoczne w tabeli to:

Transfery - liczba rozpoznanych transferów w rekordzie dziennym.
Rozmiar transferu - suma danych powiązanych z transferami.
Transfery wychodzące - ruch plików z komputera do zewnętrznego celu lub kanału.
Transfery przychodzące - ruch plików trafiających na monitorowane stanowisko.

Po rozszerzeniu kolumn możesz sprawdzić także najczęściej transferowany plik, kanał, typ transferu, ostatni kierunek, transfery USB, transfery web, transfery e-mail, transfery ze schowka, transfery wydruku, transfery dużych plików, potencjalne transfery, potwierdzone transfery, ostatni plik, ostatnie źródło, ostatni cel, domenę, tytuł lub adres URL, aplikację, proces, drukarkę oraz źródło wykrycia.

Wyszukiwanie działa na dacie, agencie, komputerze, użytkowniku Windows, aktywnych godzinach, nazwach plików, kanałach, kierunkach, ścieżkach, domenach, adresach URL, urządzeniach, aplikacjach, procesach, drukarkach, nadawcach i odbiorcach e-mail oraz treści szczegółów. Jeśli znasz fragment ścieżki, domenę albo temat wiadomości, szybko odfiltrujesz rekordy wymagające sprawdzenia.

Panel analityczny w monitoringu przepływu plików

Panel analityczny zbiera transfery z wybranego zakresu czasu. Analizę możesz przełączyć na dzień, tydzień, miesiąc albo zakres własny, a wyniki czytać jako Suma lub Średnia dzienna. Tryb średniej dziennej przydaje się wtedy, gdy porównujesz krótki incydent z dłuższym okresem normalnej pracy.

Główne metryki w panelu to:

Transfery plików - główny licznik wykrytych przepływów plików.
Transfery wychodzące - liczba transferów, które mogą oznaczać wysłanie lub wyniesienie danych.
Transfery przychodzące - liczba transferów, w których pliki trafiały na komputer.
Rozmiar transferu - łączna wielkość danych związanych z ruchem plików.
Komputery i Pracownicy - zasięg stanowisk i użytkowników objętych analizą.

W tym widoku szczególnie ważne jest czytanie liczby transferów razem z rozmiarem. Mało transferów z dużym rozmiarem może być ważniejsze niż wiele drobnych pozycji. Jeżeli rośnie udział transferów wychodzących, przejdź do rankingów plików oraz kanałów, a następnie otwórz rekord z największym ruchem.

Rankingi w monitorowaniu kanałów transferu plików

Rankingi pokazują, które pliki, kanały i kierunki budowały ruch w analizowanym okresie. Dzięki nim możesz zacząć od miejsc o największym znaczeniu, zamiast ręcznie przeglądać wszystkie rekordy dzienne.

W panelu dostępne są między innymi:

Najczęściej transferowane pliki - pliki z największą liczbą transferów oraz dodatkową wartością rozmiaru.
Kanały transferu - rozkład ruchu według kanału, na przykład USB, web, e-mail, schowek lub drukowanie.
Kierunki transferu - podział na ruch wychodzący, przychodzący, wewnętrzny albo nierozpoznany.
Rozszerzenia plików - typy plików najczęściej pojawiające się w transferach.
Najaktywniejsze komputery i najaktywniejsi pracownicy - stanowiska oraz konta powiązane z największą liczbą transferów.

Jeżeli na szczycie rankingu znajduje się kanał USB, sprawdź urządzenie źródłowe lub docelowe w szczegółach. Przy kanale web istotne będą domena, URL lub tytuł. Przy transferze e-mail zwróć uwagę na nadawcę, odbiorcę i temat, bo te pola pomagają ocenić, czy ruch jest elementem normalnego procesu firmowego.

Trendy w monitoringu transferów wychodzących i przychodzących

Trendy pokazują, jak zmieniał się ruch plików w kolejnych dniach. Osobne serie obejmują transfery plików, transfery wychodzące, transfery przychodzące, rozmiar transferu, liczbę komputerów, liczbę pracowników, kanały transferu, kierunki transferu oraz rozszerzenia plików.

Podczas czytania trendów zwróć uwagę na:

czy wzrost dotyczy liczby transferów, rozmiaru danych czy obu wartości naraz,
czy skok transferów wychodzących pojawia się po okresie bez podobnego ruchu,
czy zmiana kanałów wskazuje na nowe użycie USB, web, e-mail, schowka lub drukowania,
czy wzrost rozszerzeń oznacza nowe typy plików w ruchu,
czy zjawisko dotyczy jednego komputera, czy kilku stanowisk równocześnie.

Wykres Obecność godzinowa pokazuje udział dni z wybranego zakresu, w których o konkretnej lokalnej godzinie pojawił się przynajmniej jeden transfer. Nie jest to licznik transferów ani suma przesłanych bajtów. Zaznaczona godzina oznacza jedynie obecność ruchu w tym czasie.

Porównania w monitorowaniu ruchu plików

Obszar porównań stawia aktualny zakres obok danych odniesienia. W widoku Pliki - transfery jest szczególnie przydatny do szybkiej odpowiedzi na pytanie, czy ruch danych urósł, zmienił kierunek albo przeszedł na inny kanał.

Przy analizie porównań sprawdź:

wzrost Transfery plików, bo pokazuje ogólną zmianę skali ruchu.
wzrost Transfery wychodzące, zwłaszcza gdy w poprzednim okresie taki ruch był niski.
zmianę Rozmiar transferu, ponieważ pojedynczy duży plik może mieć większe znaczenie niż długa lista małych transferów.
różnicę w liczbie komputerów i pracowników, aby rozpoznać, czy zdarzenie jest lokalne czy szersze.
zmianę kanałów oraz kierunków, bo to one często wskazują źródło nietypowego wyniku.

Jeżeli porównanie pokazuje wyraźny wzrost, nie zaczynaj od samego wykresu. Najpierw ustal, czy dominował ruch wychodzący, potem sprawdź kanał i rozszerzenie, a dopiero później przejdź do szczegółów pliku. Taka kolejność ogranicza ryzyko błędnej interpretacji zwykłej synchronizacji jako incydentu.

Anomalie w monitoringu transferów danych

Anomalie w tym widoku skupiają się na sytuacjach, które mogą wskazywać nietypowy przepływ danych. System porównuje okresy, sprawdza kanały oraz szuka transferów, które przekraczają ustalone progi liczby lub rozmiaru.

Mechanizm anomalii obejmuje:

Transfery wychodzące plików znacząco wzrosły - gdy bieżąca liczba transferów wychodzących wyraźnie przekracza okres porównawczy.
wysoki wolumen transferów USB - gdy liczba transferów USB albo ich rozmiar przekracza próg reguły.
Wykryto transfer dużego pliku - gdy pojedynczy plik lub kandydat transferu przekracza skonfigurowany próg rozmiaru.
Nowy kanał transferu plików ma wysoki udział - gdy kanał nieobecny w okresie bazowym zaczyna odpowiadać za dużą część transferów.

W dowodach anomalii mogą pojawić się bieżące transfery wychodzące, bazowe transfery wychodzące, minimalny wzrost procentowy, transfery USB, rozmiar transferu USB, nazwa pliku, kanał, rozmiar transferu, liczba transferów i udział procentowy. Przy dużym pliku zacznij od ścieżki źródłowej i docelowej, a przy nowym kanale od sprawdzenia, czy jego użycie było planowane.

Szczegóły rekordu w monitorowaniu transferowanych plików

Po kliknięciu rekordu aplikacja pokazuje transfery zagregowane dla jednego dnia i jednego komputera. Powtarzające się ślady tego samego pliku są łączone, dlatego pojedynczy wiersz szczegółów może pokazywać sumę transferów, rozmiar oraz ostatni znany kontekst źródła i celu.

W tabeli szczegółów warto sprawdzić:

identyfikację pliku: plik, rozszerzenie, nazwa transferu, klucz elementu i klucz tożsamości.
ruch danych: Kierunek, kanał, typ transferu, transfery, rozmiar transferu i udział transferu.
kontekst źródło-cel: ścieżka źródłowa, ścieżka docelowa, urządzenie źródłowe i urządzenie docelowe.
kanały aplikacyjne: domena, URL lub tytuł, aplikacja, proces, tytuł okna oraz drukarka.
kontekst e-mail: nadawca e-mail, odbiorca e-mail i temat e-mail.
jakość wykrycia: średnia pewność, minimalna pewność, maksymalna pewność, obserwacje pewności oraz potwierdzone transfery.
czas: pierwsze wykrycie, ostatnie wykrycie i aktywne godziny.

Filtrowanie godzinowe nie jest dostępne dla szczegółów transferów plików, ponieważ maska aktywnych godzin przechowuje tylko obecność wystąpienia. Nie przypisuje liczników transferów ani rozmiarów do pojedynczych godzin, więc szczegóły należy traktować jako dzienny rejestr transferowanych plików.

Jakość danych w monitoringu transferów plików

Sekcja jakości danych informuje, czy rekordy dzienne mają kompletne szczegóły transferów. To ważne, bo sam licznik transferów nie wyjaśnia, jaki plik został przeniesiony, którędy przeszedł i czy system ma wystarczający kontekst do oceny zdarzenia.

W tej części raportu kontroluj:

Pokrycie szczegółów - udział rekordów z dostępną listą transferowanych plików.
Rekordy bez szczegółów - dni, w których istnieje podsumowanie, ale brakuje rozbicia na pliki.
Częściowe dane bieżące - bieżące rekordy, które mogą być jeszcze agregowane.
Otwarte rekordy historyczne - starsze dni pozostawione bez pełnego zamknięcia.
Nieprawidłowe szczegóły - przypadki, w których struktura JSON szczegółów transferu jest uszkodzona albo nieczytelna.
Dni bez danych - brakujące dni w wybranym przedziale.

Ostrzeżenie przy aktualnym dniu najczęściej oznacza, że agent lub backend kończy jeszcze agregowanie danych. Jeśli problem dotyczy zamkniętych dat, sprawdź stan agenta, profil monitorowania transferów, kanały włączone w ustawieniach oraz poprawność eksportu danych do backendu.

Ustawienia monitorowania transferów plików

Dane widoku Pliki - transfery zależą od Profili monitorowania. Gdy profil zostanie zapisany, agent musi odebrać świeżą konfigurację na komputerze, dopiero wtedy zacznie ona wpływać na następne zapisy dzienne. Dla tego widoku znaczenie mają edytowalne opcje z sekcji plików, USB, schowka, drukowania i web.

Najważniejsze ustawienia to:

Monitorowanie transferu plików - główny przełącznik danych widocznych w tym widoku.
Deduplikacja transferów plików (sekundy) - ogranicza wielokrotne liczenie podobnych transferów w krótkim odstępie czasu.
Próg transferu dużego pliku (MB) - określa, od jakiego rozmiaru plik ma być traktowany jako duży transfer.
Kanały pobrań, web i e-mail: ustawienia Monitorowanie plików pobieranych, Monitorowanie wysyłania plików przez Internet oraz Monitorowanie transferu załączników wiadomości e-mail decydują, które z tych śladów trafią do widoku.
Nośniki zewnętrzne: ustawienia Monitorowanie transferów plików USB oraz Monitorowanie transferu plików na dyskach wymiennych wpływają na dane związane z urządzeniami podłączanymi do komputera.
Schowek: ustawienia Monitorowanie transferu plików przez schowek, Korelacja transferów plików przez schowek i Okno korelacji schowka (sekundy) pomagają łączyć aktywność schowka z transferem pliku.
Monitorowanie transferów plików przez drukowanie - włącza dane transferów powiązanych z wydrukiem.

Jeżeli w widoku brakuje oczekiwanego kanału, najpierw sprawdź, czy aktywne jest Monitorowanie transferu plików. Potem zweryfikuj przełącznik konkretnego kanału, na przykład USB, web, e-mail, schowka lub drukowania. Przy schowku pamiętaj także o ustawieniu Monitorowanie schowka, bo bez danych schowka korelacja transferów nie będzie miała pełnego kontekstu.