Jak uruchomić monitoring użycia schowka?

Widok uruchomisz z menu aplikacji: Menu -> Monitoring -> Schowek. Służy on do analizy operacji związanych ze schowkiem systemowym: kopiowania tekstu, plików, obrazów i audio, a także do sprawdzania, czy wśród kopiowanych plików pojawiały się elementy powiązane ze ścieżkami USB.

Ten widok warto otworzyć, gdy chcesz zobaczyć skalę korzystania ze schowka, porównać zwykłe kopiowanie tekstu z kopiowaniem plików, sprawdzić rozmiar danych przenoszonych przez schowek albo odszukać dni, w których aktywność znacząco odbiegała od wcześniejszego okresu. Monitoring schowka jest szczególnie przydatny przy analizie pracy z dokumentami, przenoszenia plików między folderami oraz sytuacji, w których schowek może być częścią transferu danych.

Strona ma Panel analityczny oraz tabelę rekordów. Panel opisuje metryki, rankingi, trendy, porównania, anomalie, obecność godzinową i jakość danych. Pojedynczy wiersz tabeli odpowiada jednemu dniowi pracy schowka na konkretnym komputerze. Po wybraniu wpisu aplikacja pokazuje szczegóły dla tego dnia, stanowiska i pracownika, z podziałem na typ elementu, plik, tekst, rozmiar danych, źródło, aplikację pierwszoplanową oraz aktywne godziny.

Tabela dzienna w monitorowaniu schowka

Tabela pozwala szybko ocenić, czy w danym dniu schowek był używany głównie do tekstu, czy także do plików. Domyślne kolumny pokazują wartości, które najlepiej opisują skalę zdarzeń bez wchodzenia od razu w szczegóły każdego elementu.

Najważniejsze kolumny widoczne w tabeli to:

  • Kopiowania tekstu - liczba zapisanych operacji kopiowania tekstu.
  • Skopiowane pliki - liczba plików objętych kopiowaniem przez schowek.
  • Długość tekstu - łączna długość skopiowanego tekstu, jeśli agent mógł ją policzyć.
  • Rozmiar skopiowanych danych - suma rozmiaru danych dla plików widocznych w szczegółach.

Po rozszerzeniu kolumn możesz sprawdzić także dane USB, ostatnio skopiowany plik, najczęstsze rozszerzenie, kopiowania obrazów i audio, zdarzenia kopiowania, potencjalne wklejenia oraz liczbę wierszy i słów tekstu. Te pola są pomocne, gdy chcesz rozróżnić zwykłe operacje tekstowe od kopiowania większej liczby plików.

Wyszukiwarka obejmuje datę, agenta, komputer, użytkownika Windows, aktywne godziny, rozszerzenia plików, ostatnią nazwę skopiowanego pliku, ostatnie rozszerzenia oraz tekst zapisany w szczegółach. Dzięki temu można dojść do konkretnego zdarzenia nawet wtedy, gdy znasz tylko fragment nazwy pliku albo rozszerzenia.

Panel analityczny w monitoringu aktywności schowka

Panel analityczny zbiera użycie schowka z aktualnie ustawionego przedziału czasu. Możesz przełączyć analizę na dzień, tydzień, miesiąc lub zakres własny, a wartości przeliczać jako Suma albo Średnia dzienna. Tryb średniej dziennej dobrze sprawdza się wtedy, gdy porównujesz krótszy incydent z dłuższym okresem normalnej pracy.

Najważniejsze metryki to:

  • Kopiowania tekstu - ile razy schowek zawierał kopiowany tekst.
  • Skopiowane pliki - ile plików zostało uwzględnionych w kopiowaniu przez schowek.
  • Unikalne skopiowane pliki - ile różnych plików pojawiło się w szczegółach.
  • Skopiowane z USB - ile elementów plików było powiązanych ze ścieżką USB.
  • Rozmiar skopiowanych danych - łączny rozmiar plików zapisanych w szczegółach schowka.
  • Komputery i Pracownicy - zasięg danych w analizowanym okresie.

Najlepiej interpretować panel przez zestawienie liczby plików z rozmiarem danych. Dużo małych plików oznacza inny typ aktywności niż jedna duża paczka danych. Jeżeli jednocześnie rośnie Skopiowane z USB, warto przejść do rankingów USB i szczegółów pliku.

Rankingi w monitorowaniu kopiowanych plików

Rankingi pokazują, które elementy schowka najczęściej pojawiały się w danych i gdzie koncentrowała się aktywność. W tym widoku wysokie miejsce w rankingu nie zawsze oznacza naruszenie. Może wskazywać normalną pracę z dokumentami, ale może też pokazać plik lub urządzenie wymagające sprawdzenia.

W panelu dostępne są:

  • Najczęściej kopiowane pliki - pliki z największą liczbą wystąpień w schowku.
  • Największe skopiowane pliki - pliki uporządkowane według rozmiaru danych.
  • Najczęściej kopiowane pliki z USB - elementy powiązane ze ścieżkami USB.
  • Rozszerzenia plików - rozkład skopiowanych plików według rozszerzeń.
  • Najczęściej używane aplikacje - aplikacje pierwszoplanowe powiązane ze zdarzeniami schowka.
  • Najaktywniejsze komputery i Najaktywniejsi pracownicy - miejsca oraz osoby z największą liczbą zdarzeń.

Praktyczna analiza zwykle zaczyna się od plików i rozszerzeń. Jeżeli dominują zwykłe dokumenty, sprawdź rozmiar i komputer. Jeżeli wysoko pojawiają się archiwa, nietypowe rozszerzenia lub USB, przejdź do szczegółów rekordu i zobacz ścieżkę pliku, urządzenie źródłowe oraz aplikację widoczną podczas zdarzenia.

Trendy i obecność godzinowa w monitoringu schowka

Trendy pokazują, jak aktywność schowka zmieniała się w kolejnych dniach. Możesz osobno obserwować kopiowania tekstu, skopiowane pliki, unikalne skopiowane pliki, dane z USB, długość tekstu, rozmiar skopiowanych danych oraz liczbę komputerów i pracowników.

Podczas czytania trendów warto sprawdzić:

  • czy wzrost dotyczy tekstu, plików czy przede wszystkim rozmiaru danych,
  • czy zdarzenia USB są pojedynczym skokiem, czy powtarzają się przez kilka dni,
  • czy liczba unikalnych plików rośnie szybciej niż liczba operacji,
  • czy aktywność dotyczy jednego komputera, czy większej części organizacji.

Wykres Obecność godzinowa pokazuje, w jakiej części analizowanych dni agent zauważył aktywność schowka w konkretnej godzinie lokalnej. Nie jest to liczba kopii, liczba plików ani czas trwania aktywności. Zaznaczona godzina mówi tylko, że w tej godzinie agent zauważył użycie schowka.

Porównania w monitorowaniu zmian użycia schowka

Porównania zestawiają bieżący zakres z okresem odniesienia. W widoku Schowek jest to przydatne zwłaszcza wtedy, gdy chcesz odróżnić zwykły dzień pracy z dokumentami od nagłego wzrostu kopiowania plików albo nietypowego zwiększenia rozmiaru danych.

Przy analizie porównań zwróć uwagę na:

  • wzrost Kopiowania tekstu, który często oznacza intensywną pracę redakcyjną lub administracyjną,
  • wzrost Skopiowane pliki, bo może pokazywać przenoszenie dokumentów przez schowek,
  • wzrost Unikalne skopiowane pliki, który sugeruje większą różnorodność elementów,
  • wzrost Skopiowane z USB, szczególnie gdy dotyczy nowych komputerów,
  • wzrost Rozmiar skopiowanych danych, bo pojedynczy duży plik może być ważniejszy niż wiele drobnych operacji.

Jeżeli porównanie pokazuje duży skok, najpierw sprawdź, która metryka go napędza. Potem przejdź do rankingu plików według liczby i rozmiaru. Dopiero szczegóły rekordu pokażą nazwę pliku, ścieżkę, urządzenie źródłowe i aplikację, w której schowek był używany.

Anomalie w monitoringu schowka i kopiowania danych

Anomalie wskazują sytuacje, w których użycie schowka wyraźnie odbiega od wcześniejszego zachowania albo przekracza progi ustawione dla liczby plików i rozmiaru danych. To miejsce warto sprawdzać przed ręcznym przeglądaniem wszystkich rekordów, bo szybko zawęża listę dni wymagających uwagi.

Mechanizm anomalii w tym widoku obejmuje:

  • Aktywność kopiowania przez schowek znacząco wzrosła - gdy bieżąca liczba kopii jest dużo wyższa niż w okresie porównawczym.
  • Wysoka liczba kopiowanych plików przez schowek - gdy dzienny rekord zawiera wiele plików kopiowanych przez schowek.
  • Duży rozmiar danych skopiowanych przez schowek - gdy rozmiar danych w szczegółach przekracza próg dla dużej kopii.

W dowodach anomalii mogą pojawiać się bieżące i bazowe kopie przez schowek, wzrost liczby kopii, liczba kopiowań plików, liczba skopiowanych plików, ostatnio skopiowany plik oraz rozmiar skopiowanych danych. Przy dużych danych zacznij od pliku i ścieżki, a przy wzroście wolumenu od komputera oraz pracownika.

Szczegóły rekordu w monitorowaniu elementów schowka

Po kliknięciu rekordu aplikacja pokazuje elementy schowka zagregowane dla jednego dnia i jednego komputera. W szczegółach mogą pojawić się osobne wiersze dla plików oraz wiersze zbiorcze dla tekstu, obrazu albo audio. To pozwala zobaczyć nie tylko liczbę operacji, ale też typ danych i kontekst pracy.

W tabeli szczegółów warto sprawdzić:

  • identyfikację zawartości schowka: element, typ elementu, typ pliku i rozszerzenie.
  • skalę kopiowania: Kopiowania, rozmiar danych, pliki skopiowane z USB oraz skopiowane pliki według szczegółów.
  • kontekst pliku: USB, urządzenie źródłowe, ścieżkę pliku, nazwę pliku i katalog.
  • kontekst programu: Aplikacja, okno pierwszoplanowe i ścieżka pliku wykonywalnego pierwszego planu.
  • dane techniczne zdarzenia: typ operacji, typ zawartości, format schowka, źródło wykrycia, źródło i typ źródła.
  • ramy czasu i użytkownika: pierwsze wykrycie, ostatnie wykrycie, aktywne godziny oraz użytkownik Windows.

Filtrowanie godzinowe nie jest dostępne dla szczegółów użycia schowka, ponieważ maska aktywnych godzin zapisuje tylko obecność zdarzenia i nie przypisuje liczników schowka do poszczególnych godzin. Szczegóły traktuj więc jako dzienne zestawienie elementów, a nie godzinowy rejestr każdej operacji kopiowania.

Jakość danych w monitoringu użycia schowka

Sekcja jakości danych pokazuje, czy podsumowania dzienne mają spójne szczegóły schowka. Jest to ważne, ponieważ rekord może zawierać liczniki kopiowania, ale bez szczegółów trudniej ustalić, które pliki lub typy zawartości zbudowały wynik.

W panelu możesz zobaczyć:

  • Pokrycie szczegółów - jaka część rekordów ma dostępne szczegóły schowka.
  • Rekordy bez szczegółów - dni, w których widać dane schowka, ale brakuje listy elementów.
  • Częściowe dane bieżące - rekordy aktualnego dnia, które mogą być jeszcze agregowane.
  • Otwarte rekordy historyczne - dawne wpisy schowka pozostawione bez domknięcia.
  • Nieprawidłowe szczegóły - przypadki, w których lista elementów schowka ma uszkodzoną strukturę.
  • Dni bez danych - brakujące dni w analizowanym przedziale, bez odebranych danych schowka.

Jeżeli ostrzeżenie pojawia się tylko dla bieżącego dnia, zwykle może wynikać z trwającego przetwarzania. Jeżeli dotyczy zamkniętych dni, sprawdź stan agenta, ustawienia monitorowania schowka oraz to, czy kolejka lokalna i eksport danych do backendu działają prawidłowo.

Ustawienia monitorowania schowka

Użycie schowka jest sterowane przez Profile monitorowania. Agent korzysta z ustawień profilu dopiero po pobraniu aktualnej konfiguracji na komputer. W tym widoku znaczenie mają ustawienia z części plików i schowka, ale opisujemy tylko opcje dostępne do edycji.

Dla widoku Schowek najważniejsze są:

  • Monitorowanie schowka - włącza zbieranie danych o aktywności schowka.
  • Monitorowanie transferu plików - ogólna opcja transferów plików; jest potrzebna, jeżeli schowek ma być analizowany także jako kanał przenoszenia plików.
  • Monitorowanie transferu plików przez schowek - pozwala agentowi ujmować schowek w danych transferu plików.
  • Korelacja transferów plików przez schowek - łączy zdarzenia schowka z potencjalnymi operacjami transferu plików.
  • Okno korelacji schowka (sekundy) - określa, w jakim przedziale czasu zdarzenia mogą zostać powiązane; w ustawieniach wartość jest ograniczona do zakresu od 5 do 600 sekund.

Jeżeli interesuje Cię tylko liczba kopiowań tekstu, najważniejsze jest Monitorowanie schowka. Jeżeli analizujesz pliki i możliwy transfer danych, sprawdź również opcje transferu oraz korelacji. Po zmianie profilu wróć do widoku po kolejnym dniu monitorowania i porównaj skopiowane pliki, dane z USB oraz rozmiar skopiowanych danych.