Monitorowanie użycia USB

Jak uruchomić monitoring użycia USB?

Widok otworzysz z menu aplikacji: Menu -> Monitoring -> USB. Służy on do obserwowania użycia urządzeń USB na komputerach objętych agentem: podłączeń, odłączeń, ponownych wykryć, rozpoznanych modeli, numerów seryjnych, liter dysków, woluminów, formatów i typów nośników.

Ten widok warto uruchomić, gdy chcesz sprawdzić, czy na stanowisku pojawiały się pamięci USB, czy jedno urządzenie było wielokrotnie przepinane, czy w organizacji pojawiły się nowe nośniki albo czy aktywność USB koncentruje się na wybranych komputerach. Monitoring użycia USB nie opisuje decyzji blokowania, tylko faktyczne ślady obecności i zmian połączenia urządzeń.

Strona zawiera Panel analityczny, tabelę dziennych rekordów oraz sekcję szczegółów. Panel porządkuje liczniki zmian połączeń, unikalne urządzenia, podłączenia, odłączenia, rankingi, trendy, porównania, anomalie, obecność godzinową i jakość danych. Jeden wpis na liście odpowiada dziennemu zapisowi aktywności USB z pojedynczego komputera. Po otwarciu wpisu aplikacja przechodzi do szczegółów tego dnia dla właściwego stanowiska i pracownika, zagregowanych według rozpoznanych urządzeń USB oraz ich parametrów technicznych.

Tabela dzienna w monitorowaniu użycia urządzeń USB

Tabela dzienna pozwala szybko ustalić, czy w konkretnym dniu komputer miał aktywność USB i jak intensywna była zmiana stanów urządzeń. W podstawowym widoku najważniejsze są liczniki, które mówią o skali ruchu, bez konieczności otwierania szczegółów każdego nośnika.

Domyślne kolumny obejmują:

Unikalne urządzenia USB - liczbę logicznie rozpoznanych urządzeń w danym rekordzie.
Zmiany połączeń USB - sumę podłączeń i odłączeń wykrytych w ciągu dnia.
Podłączone - liczbę zdarzeń, w których urządzenie zostało zauważone jako podłączone.
Odłączone - liczbę zdarzeń związanych z utratą lub zakończeniem połączenia.

Po rozszerzeniu tabeli możesz dodać liczbę urządzeń USB, ostatni model, ostatni dysk, ostatni wolumin i ostatni numer seryjny. Wyszukiwanie obejmuje datę, identyfikator agenta, komputer, użytkownika Windows, aktywne godziny, nazwę dysku, wolumin, identyfikatory urządzeń, numery seryjne oraz treść szczegółów. Dzięki temu da się znaleźć rekord nawet po fragmencie etykiety woluminu albo znanym numerze seryjnym nośnika.

Panel analityczny w monitoringu obecności USB

Panel analityczny zbiera dane z wybranego zakresu czasu. Możesz analizować dzień, tydzień, miesiąc albo zakres własny, a wartości czytać jako Suma lub Średnia dzienna. Suma pokazuje całkowitą aktywność w okresie, natomiast średnia dzienna ułatwia zestawianie krótkich i długich zakresów.

Główne metryki panelu to:

Zmiany połączeń USB - łączna liczba podłączeń i odłączeń.
Unikalne urządzenia USB - liczba rozpoznanych nośników po deduplikacji tożsamości urządzenia.
Podłączone oraz Odłączone - oddzielne liczniki dwóch kierunków zmiany stanu.
Komputery i Pracownicy - zasięg stanowisk oraz użytkowników widocznych w analizie.

Najlepiej czytać te metryki razem. Wysoka liczba zmian połączeń przy małej liczbie unikalnych urządzeń może oznaczać wielokrotne przepinanie tego samego nośnika. Wzrost liczby unikalnych urządzeń przy umiarkowanej liczbie zdarzeń sugeruje raczej pojawienie się wielu różnych nośników niż problem z jednym portem lub urządzeniem.

Rankingi w monitorowaniu urządzeń i nośników USB

Rankingi pokazują, gdzie koncentruje się aktywność USB i które urządzenia odpowiadają za największą liczbę zmian połączeń. To dobry punkt startowy, gdy w tabeli widać dużo zdarzeń, ale nie wiadomo jeszcze, czy wynik pochodzi z jednego nośnika, jednego komputera czy wielu osób.

W panelu rankingów dostępne są:

Najczęstsze urządzenia USB - urządzenia uporządkowane według liczby zmian połączeń.
Typy dysków USB - rozkład rozpoznanych typów nośników.
Formaty dysków USB - systemy plików lub formaty widoczne w danych urządzeń.
Najaktywniejsze komputery - stanowiska z największą liczbą zdarzeń USB.
Najaktywniejsi pracownicy - użytkownicy powiązani z największą aktywnością.

Przy analizie rankingu urządzeń nie opieraj się wyłącznie na nazwie modelu. Podobne pamięci USB mogą mieć tę samą nazwę handlową, dlatego w szczegółach warto sprawdzić numer seryjny, wolumin, literę dysku oraz identyfikatory techniczne. Rozkład typów i formatów pomaga natomiast ocenić, czy w danych dominują typowe pamięci przenośne, czy pojawiają się inne klasy urządzeń.

Trendy użycia USB w monitoringu komputerów

Trendy pokazują, jak zmieniała się aktywność USB w kolejnych dniach wybranego okresu. Osobne serie obejmują zmiany połączeń USB, unikalne urządzenia, podłączenia i odłączenia. Dzięki temu można zobaczyć, czy wzrost jest jednorazowy, czy utrzymuje się przez kilka dni.

Podczas czytania trendów sprawdź:

czy skok zmian połączeń występuje razem ze wzrostem unikalnych urządzeń,
czy podłączenia i odłączenia rosną w podobnym tempie,
czy aktywność pojawia się po zmianie profilu monitorowania albo po podłączeniu nowych stanowisk,
czy kilka komputerów ma podobny rytm zdarzeń, czy problem dotyczy jednej maszyny,
czy obecność nowych nośników pojawia się w tym samym dniu co nietypowe transfery plików.

Wykres Obecność godzinowa pokazuje procent monitorowanych dni, w których agent zauważył aktywność USB w danej godzinie lokalnej. Nie jest to liczba zdarzeń, rozkład podłączeń ani czas pracy urządzenia. Zaznaczona godzina oznacza jedynie, że w tej godzinie wystąpił ślad aktywności USB.

Porównania w monitorowaniu aktywności USB

Część porównawcza pokazuje bieżące wyniki obok danych bazowych. W widoku USB pozwala szybko zobaczyć, czy wzrosła liczba zmian połączeń, czy pojawiło się więcej unikalnych urządzeń oraz czy aktywność dotyczy większej liczby komputerów lub pracowników.

Przy analizie porównań zwróć uwagę na:

wzrost Zmian połączeń USB, bo pokazuje ogólną zmianę natężenia aktywności.
wzrost Unikalnych urządzeń USB, szczególnie gdy poprzedni okres miał stabilną liczbę nośników.
różnicę między Podłączone i Odłączone, aby wychwycić nietypowe serie zmian stanu.
zmianę liczby komputerów, ponieważ ten sam wzrost zdarzeń ma inne znaczenie na jednym stanowisku i w całym dziale.
zmianę liczby pracowników, gdy chcesz ocenić, czy aktywność USB rozchodzi się na więcej kont użytkowników.

Jeżeli bieżący okres mocno odbiega od bazowego, zacznij od rankingu urządzeń, a potem przejdź do komputerów. Dopiero szczegóły rekordu pokażą, czy wzrost napędza nowe urządzenie, często przepinany nośnik, czy kilka zwykłych zdarzeń rozproszonych po różnych stanowiskach.

Anomalie w monitoringu użycia urządzeń USB

Anomalie wskazują sytuacje, które różnią się od okresu porównawczego albo spełniają progi reguł. W tym widoku mechanizm skupia się na zwiększonej liczbie zmian połączeń oraz urządzeniach, których nie było w poprzednim okresie.

W panelu mogą pojawić się między innymi:

Zmiany połączeń USB wzrosły - gdy liczba podłączeń i odłączeń dla komputera lub pracownika jest wyraźnie wyższa niż wcześniej.
Wykryto nowe urządzenie USB - gdy w bieżącym okresie pojawia się urządzenie nieobecne w danych porównawczych.
dowody związane z liczbą podłączeń, odłączeń, poprzednim poziomem zmian oraz ostatnią akcją urządzenia.

Przy nowym urządzeniu sprawdź model, numer seryjny, wolumin i literę dysku. Przy wzroście zmian połączeń ważniejsze jest ustalenie, czy zdarzenia dotyczą jednego nośnika, czy kilku różnych urządzeń. Jeśli ta sama pamięć pojawia się wiele razy w krótkim okresie, może to oznaczać normalne przepinanie, problem z portem USB albo próbę pracy na niestabilnym nośniku.

Szczegóły rekordu w monitorowaniu parametrów USB

Po kliknięciu rekordu aplikacja pokazuje urządzenia USB zebrane dla jednego dnia i jednego komputera. Szczegóły są deduplikowane do logicznych urządzeń, aby kilka śladów tego samego nośnika nie tworzyło sztucznie wielu osobnych pozycji.

W tabeli szczegółów warto sprawdzić:

identyfikację urządzenia: Model, Numer seryjny, Urządzenie, Identyfikator urządzenia i PnP Device ID.
informacje o dysku: Dysk, Wolumin, Typ dysku, Format dysku i Numer seryjny woluminu.
liczniki zdarzeń: Zmiany połączeń USB, Podłączone i Odłączone.
pojemność nośnika: Całkowity rozmiar, Dostępne wolne miejsce oraz Procent wolnego miejsca.
czas widoczności: Pierwsze wykrycie, Ostatnie wykrycie i Aktywne godziny.

Sortowanie po modelu jest domyślne, ale w praktyce często lepiej zacząć od liczby zmian połączeń albo ostatniego wykrycia. Filtrowanie godzinowe nie jest dostępne dla szczegółów tego widoku, ponieważ maska aktywnych godzin zapisuje obecność aktywności, a nie przypisuje liczników USB do pojedynczych godzin. Szczegóły traktuj więc jako dzienne zestawienie urządzeń, nie minutowy dziennik pracy nośnika.

Jakość danych w monitoringu użycia USB

Sekcja jakości danych pokazuje, czy dzienne rekordy mają kompletne szczegóły urządzeń i czy można bezpiecznie przechodzić od liczb w panelu do konkretnych nośników. W widoku USB jest to ważne, bo same podłączenia i odłączenia nie wystarczą do rozpoznania, który nośnik faktycznie był używany.

Panel jakości może wskazać brak szczegółów mimo obecnych liczników, nieprawidłową strukturę danych, elementy z czasem poza zakresem dnia, częściową agregację bieżącego dnia, starsze rekordy pozostawione jako otwarte albo dni bez danych w wybranym okresie.

Jeżeli ostrzeżenie dotyczy dzisiejszego rekordu, poczekaj na zakończenie agregacji i ponów sprawdzenie później. Przy zamkniętych dniach skontroluj pracę agenta, dostępność ItemsJson oraz zgodność listy urządzeń z licznikami zmian połączeń. Dopiero po takiej kontroli porównuj urządzenia między komputerami lub wyciągaj wnioski o nietypowym użyciu USB.

Ustawienia monitorowania użycia USB

Dane w widoku USB zależą od konfiguracji w Profilach monitorowania. Dla tej strony znaczenie ma przede wszystkim edytowalny przełącznik Monitorowanie USB, który decyduje, czy agent ma zbierać informacje o aktywności urządzeń USB na komputerze.

W ustawieniach widoczne są również opcje techniczne związane ze źródłami wykrywania, takie jak Monitorowanie dysków logicznych USB, Monitorowanie dysków USB PnP, Monitorowanie zmian woluminów USB, Okresowe zdarzenia obecności urządzeń USB oraz Interwał zdarzeń obecności USB (sekundy). Te pola są oznaczone jako tylko do odczytu, więc w typowej konfiguracji nie edytuje się ich z poziomu profilu.

Jeżeli w widoku USB nie pojawiają się oczekiwane dane, najpierw sprawdź, czy w profilu włączone jest Monitorowanie USB. Następnie upewnij się, że agent pobrał aktualną konfigurację i poczekaj na kolejny zapis dzienny. Dopiero później porównuj rekordy z widokami transferów plików albo blokowania USB, bo te strony opisują inne warstwy pracy z nośnikami.