Monitorowanie blokowania USB

Jak uruchomić monitoring blokowania USB?

Widok otworzysz z menu aplikacji: Menu -> Monitoring -> USB - blokowanie. Pokazuje on decyzje zasad USB zapisane przez agenta, czyli informacje o tym, czy podłączona pamięć USB została dozwolona, zablokowana, rozpoznana jako urządzenie z listy dozwolonych albo wymagała egzekwowania polityki. W tabeli i panelu znajdziesz Unikalne urządzenia USB, Decyzje USB, Decyzje o dozwoleniu USB, Decyzje o blokadzie USB, Nieudane blokady USB, Skuteczność blokad USB, Decyzje USB z listy dozwolonych, komputery i pracowników.

Ten widok warto uruchomić po włączeniu blokowania pamięci USB, po zmianie listy dozwolonych urządzeń albo wtedy, gdy chcesz sprawdzić, czy nośniki zewnętrzne są używane zgodnie z profilem monitorowania. Monitoring blokowania USB pomaga odróżnić zwykłe użycie znanego nośnika od sytuacji, w której agent musiał wykonać blokadę lub nie zdołał jej dokończyć.

Układ widoku obejmuje Panel analityczny, tabelę dziennych rekordów i sekcję szczegółów. Panel grupuje liczby decyzji, rankingi urządzeń, rozkłady akcji i wyników, trendy, porównania, anomalie, obecność godzinową oraz jakość danych. Pojedynczy rekord listy opisuje jeden monitorowany dzień na konkretnym komputerze. Po jego otwarciu aplikacja pokazuje szczegóły dla wskazanego stanowiska i pracownika, zagregowane przede wszystkim według urządzenia USB, woluminu, decyzji, statusu polityki i skuteczności blokowania.

Dzienna tabela w monitorowaniu blokowania USB

Tabela dzienna pozwala szybko zobaczyć, czy na komputerze pojawiły się urządzenia USB oraz jak polityka potraktowała te nośniki. Najpierw warto sprawdzić liczbę decyzji i urządzeń, a dopiero potem przejść do blokad, dozwolenia i nieudanych prób egzekwowania.

W podstawowym układzie tabeli widzisz:

Unikalne urządzenia USB - liczbę rozpoznanych nośników lub urządzeń zagregowanych w rekordzie.
Decyzje USB - sumę decyzji dozwolenia i blokady zapisanych dla danego dnia.
Dozwolone - decyzje, w których użycie pamięci USB zostało dopuszczone.
Zablokowane - decyzje, w których polityka wskazała blokadę nośnika.

Po rozszerzeniu kolumn możesz sprawdzić Nieudane blokady USB, Ostatnią decyzję, Próby blokady, Udane blokady, Skuteczność blokad, Wymagane blokady, urządzenia na liście dozwolonych, udziały dozwolenia i blokad, ostatnią akcję, tryb, status zasady, wolumin, dysk, numer seryjny, identyfikator urządzenia oraz informację, czy ostatni nośnik był na liście dozwolonych. Wyszukiwarka obejmuje także aktywne godziny, akcje, tryby, statusy, woluminy, numery seryjne, nazwy dysków i szczegóły ItemsJson.

Panel analityczny w monitoringu zasad USB

Panel analityczny podsumowuje decyzje zasad USB z wybranego okresu. Tryb Suma pokazuje pełną liczbę zdarzeń i decyzji, a Średnia dzienna ułatwia porównanie okresów o różnej długości albo zakresów z inną liczbą aktywnych komputerów.

Najważniejsze metryki panelu to Unikalne urządzenia USB, Decyzje USB, Decyzje o dozwoleniu USB, Decyzje o blokadzie USB, Nieudane blokady USB, Skuteczność blokad USB i Decyzje USB z listy dozwolonych. Jeżeli liczba blokad rośnie, sprawdź równocześnie skuteczność blokad. Wzrost blokad przy wysokiej skuteczności oznacza zwykle aktywnie działającą politykę, natomiast wzrost nieudanych blokad wymaga wejścia w szczegóły urządzeń.

W monitorowaniu blokowania USB panel rozdziela dwa tematy: wykrycie nośnika oraz wykonanie decyzji. Dzięki temu można zobaczyć nie tylko to, że urządzenie pojawiło się w systemie, ale też czy agent rozpoznał je jako dozwolone, czy powinien je zablokować i czy blokada została wykonana.

Rankingi urządzeń w monitorowaniu polityki USB

Rankingi pomagają ustalić, które urządzenia i komputery najczęściej generowały decyzje zasad USB. To dobre miejsce startu, gdy w panelu widać więcej blokad, ale nie wiadomo jeszcze, czy problem dotyczy jednego nośnika, jednej stacji roboczej czy szerszego sposobu używania pamięci przenośnych.

W panelu rankingów dostępne są między innymi:

Najczęstsze urządzenia USB - nośniki lub urządzenia z największą liczbą zdarzeń polityki.
Akcje zasad USB - rozkład działań, które agent próbował wykonać.
Wyniki zasad USB - statusy pokazujące, jak zakończyła się obsługa decyzji.
Tryby zasad USB - tryby, w których działała polityka blokowania.
Najaktywniejsze komputery i Najaktywniejsi pracownicy - miejsca i użytkownicy z największą liczbą zdarzeń USB.

Jeżeli ranking urządzeń pokazuje jedną dominującą pozycję, otwórz szczegóły i porównaj model, numer seryjny, wolumin oraz decyzję. Przy USB sama nazwa woluminu bywa myląca, dlatego identyfikator urządzenia i numer seryjny są często ważniejsze niż etykieta dysku.

Trendy decyzji USB w monitoringu blokowania

Trendy pokazują, jak zmieniały się decyzje zasad USB w kolejnych dniach. Możesz analizować wykresy dla Unikalnych urządzeń USB, Decyzji USB, Decyzji o dozwoleniu USB, Decyzji o blokadzie USB oraz Nieudanych blokad USB.

Podczas czytania trendów sprawdź:

czy wzrost decyzji pojawił się po zmianie profilu lub listy dozwolonych pamięci USB,
czy liczba blokad rośnie razem z liczbą unikalnych urządzeń,
czy nieudane blokady występują pojedynczo, czy tworzą serię na tym samym komputerze,
czy decyzje dozwolenia dominują po dodaniu nowych urządzeń do listy dozwolonych,
czy liczba decyzji USB jest spójna z liczbą komputerów objętych monitoringiem.

Wykres Godzinowa obecność zasad USB pokazuje, w których lokalnych godzinach agent zauważył aktywność polityki USB w analizowanych dniach. Nie jest to licznik decyzji ani czas używania nośnika. Zaznaczona godzina oznacza tylko obecność zdarzenia polityki w tym przedziale.

Porównania blokowania USB w monitorowaniu komputerów

Zakładka porównań zestawia bieżący zakres z okresem odniesienia. Dzięki temu widać, czy po zmianie zasad wzrosła liczba urządzeń, blokad, dozwolonych decyzji albo problemów z egzekwowaniem blokady.

W porównaniach zwróć uwagę na:

zmianę Decyzji USB, bo pokazuje ogólną aktywność polityki.
wzrost Decyzji o blokadzie USB, szczególnie gdy pojawia się po zaostrzeniu trybu.
różnicę w Nieudanych blokadach USB, ponieważ wskazuje problemy techniczne z wykonaniem polityki.
zmianę Skuteczności blokad USB, bo spadek tej wartości jest ważniejszy niż sama liczba prób.
liczbę unikalnych urządzeń USB i decyzji z listy dozwolonych, aby odróżnić nowe nośniki od urządzeń już zaakceptowanych.

Jeżeli bieżący okres mocno odbiega od bazowego, zacznij od trybów zasad USB i wyników polityki, a dopiero później przejdź do konkretnych komputerów. Przy blokowaniu USB źródłem zmiany często jest konfiguracja profilu, nie samo podłączenie pojedynczego nośnika.

Anomalie w monitoringu blokowania pamięci USB

Anomalie wskazują zdarzenia, które przekraczają progi albo wyróżniają się na tle okresu porównawczego. W tym widoku dotyczą przede wszystkim wzrostu blokad, niepowodzeń egzekwowania i nowych urządzeń, które zostały zablokowane.

W panelu mogą pojawić się między innymi:

Aktywność blokowania USB znacząco wzrosła - gdy liczba blokad jest wyraźnie wyższa niż w okresie bazowym.
Blokowanie USB nie powiodło się - gdy urządzenia, które powinny być zablokowane, nie zostały skutecznie obsłużone.
Nowe urządzenie USB zostało zablokowane - gdy w bieżącym okresie pojawił się nośnik niewystępujący wcześniej.
Rozpoznanie dysku USB oczekuje - gdy agent potrzebuje ustalenia ścieżki lub nazwy dysku przed pełnym egzekwowaniem.

W dowodach anomalii sprawdzaj Bieżącą liczbę blokad, Bazową liczbę blokad, Wzrost liczby blokad, Nieudane blokady, Liczbę do zablokowania, Udział nieudanych zakończeń, Urządzenie, Status zasady, Oczekujące rozpoznanie dysku, Próby rozpoznania dysku i Powód. Te pola pomagają odróżnić problem konfiguracji od problemu z rozpoznaniem konkretnego nośnika.

Szczegóły rekordu w monitorowaniu decyzji USB

Po kliknięciu rekordu aplikacja pokazuje urządzenia USB zagregowane dla jednego dnia i jednego komputera. Szczegóły są grupowane po stabilnej tożsamości urządzenia, z wykorzystaniem modelu, numeru seryjnego, identyfikatora urządzenia, PnP Device ID, nazwy dysku, woluminu i innych danych, które pomagają odróżniać podobne nośniki.

W tabeli szczegółów znajdziesz pola: Urządzenie USB, Wolumin, Model, Numer seryjny, Dysk, Decyzja, Wynik zasady, Decyzje USB, Decyzje o dozwoleniu USB, Decyzje o blokadzie USB, Nieudane blokady USB i informację Na liście dozwolonych. Dodatkowe kolumny mogą pokazać Zdarzenia USB, Udział aktywności, Akcję, Tryb, Typ dysku, Format dysku, Wymagane blokady, Próby blokady, Udane blokady, Skuteczność blokad, pierwsze i ostatnie wykrycie, aktywne godziny, identyfikatory urządzenia, komunikat blokady oraz komunikat naprawy.

Najpierw sortuj po Decyzjach o blokadzie USB albo Nieudanych blokadach USB. Następnie sprawdź status zasady, tryb i komunikat blokady. Jeżeli urządzenie jest oznaczone jako dozwolone, porównaj numer seryjny, Device ID i etykietę woluminu z listą dozwolonych pamięci USB w profilu.

Jakość danych w monitoringu zasad USB

Sekcja jakości danych informuje, czy szczegóły urządzeń są dostępne i czy pasują do dziennego podsumowania. To istotne, bo tabela pokazuje wartości zagregowane, a analiza blokowania USB wymaga zobaczenia urządzenia, decyzji, statusu i liczników egzekwowania.

Panel jakości może sygnalizować brak szczegółów mimo obecnych decyzji, nieprawidłową strukturę JSON, elementy z czasem poza zakresem dnia, rozbieżność między podsumowaniem i listą urządzeń, trwającą agregację bieżącego dnia albo zamknięty rekord bez szczegółów USB.

Jeżeli ostrzeżenie dotyczy dzisiejszych danych, poczekaj na domknięcie agregacji. Przy starszych rekordach sprawdź pracę agenta, kolejkę wysyłki, obecność ItemsJson oraz zgodność liczby decyzji, blokad, dozwolenia i nieudanych blokad z pozycjami szczegółów. Dopiero po tej kontroli warto oceniać skuteczność zasad USB.

Ustawienia monitorowania blokowania USB

Dane prezentowane w tym widoku zależą od edytowalnej konfiguracji profilu odpowiedzialnej za blokowanie pamięci USB. To właśnie te opcje decydują, czy agent tylko obserwuje urządzenia, blokuje nieznane nośniki czy dopuszcza wyłącznie pamięci zapisane na liście dozwolonych.

Najważniejsze opcje powiązane z widokiem to:

Blokowanie pamięci USB - włącza egzekwowanie zasad blokowania nośników USB.
Tryb blokowania pamięci USB - pozwala wybrać sposób działania polityki, między innymi Blokuj nieznane urządzenia albo Blokuj wszystkie poza dozwolonymi.
Dozwolone pamięci USB - lista wyjątków, w której można dodać identyfikator urządzenia, numer seryjny, etykietę woluminu lub nazwę dysku.

Po zmianie tych ustawień obserwuj Decyzje USB, Decyzje o blokadzie USB, Decyzje USB z listy dozwolonych, Nieudane blokady USB i Skuteczność blokad USB. Przy trybie Blokuj wszystkie poza dozwolonymi szczególnie ważna jest kompletność identyfikatorów urządzeń, bo zbyt ogólny wpis może nie rozpoznać nośnika, a zbyt szeroki wyjątek może dopuścić więcej urządzeń niż planowano.