Sie sind bereits NinjaOne-Kunde? Melden Sie sich an, um weitere Leitfäden und die neuesten Updates zu sehen.

Endpoint Monitoring and Alerting Playbook

Thema

Dieser Leitfaden enthält Empfehlungen zur Erstellung Ihrer Strategie für die Endpunktüberwachung und -warnung sowie Schritt-für-Schritt-Anweisungen zur Erstellung von über 30 benutzerdefinierten Endpunktüberwachungsbedingungen in NinjaOne.

Dieser Artikel ist eine Kopie des NinjaOne-Leitfadens zu bewährten Verfahren aus unseremNinjaOne-Ressourcenzentrum. Die Daten können am Ende dieser Seite als PDF heruntergeladen werden. 

Umgebung

NinjaOne-Plattform

Index

Gerätewarnungen auf dem System-Dashboard

Rufen Sie die Warnungen auf dem System-Dashboard unter der Registerkarte „Geräte“ auf. 

system dashboard_devices_alerts.png
Abbildung 1: Zugang zu Warnungen auf dem System-Dashboard

Über dieses Dashboard können Sie diese Aktivitäten außerdem schnell anhand der folgenden Optionen filtern:

SpaltenEigenschaften
DatumsbereichWählen Sie einen Datumsbereich (letzter Tag, letzte Woche, letzter Monat oder letzte drei Monate) aus, in dem die Warnung ursprünglich ausgelöst wurde.
GerätetypenWählen Sie einen bestimmten Gerätetyp oder mehrere Gerätetypen aus, nach denen die Liste gefiltert werden soll.
Bedingungen Suchen Sie nach bestimmten Zuständen, die derzeit ausgelöst sind.
OrganisationenWählen Sie eine bestimmte Organisation oder mehrere Organisationen aus, nach denen die Liste gefiltert werden soll.
StandorteSuchen Sie nach einem bestimmten Standort oder bestimmten Standorten, um die Liste danach zu filtern (wenn Sie Organisationsfilter ausgewählt haben, wird die Liste der verfügbaren Standorte aktualisiert und zeigt nur die Standorte der ausgewählten Organisation(en) an).
GeräteFiltern Sie die Liste nach bestimmten Geräten.
  1. Jede Spalte kann sortiert werden. Standardmäßig werden alle verfügbaren Spalten in der Tabelle angezeigt; verwenden Sie das Zahnrad-Icon unter den Filter-Dropdown-Menüs, um die Sichtbarkeit der Spalten zu verwalten. Sie können die Warnungsliste jederzeit aktualisieren, indem Sie oben in der Liste auf „Aktualisieren“ klicken.
  2. Die Namen der Geräte, Organisationen und Standorte sind Hyperlinks, über die Sie zu den Dashboards für diese Geräte, Organisationen oder Standorte gelangen.
  3. Klicken Sie auf die Daten in der Spalte „Warnung“, um die Details in einem Popup-Fenster anzuzeigen. Die Details zur Warnung enthalten außerdem den Gerätenamen sowie Datum und Uhrzeit der Erstellung der Warnung.
  4. Aktivieren Sie das Kontrollkästchen für eine oder mehrere Warnungen, um die Option „Zurücksetzen“ anzuzeigen. 

Einführung

Wie sieht eine gute Überwachung aus?

Überwachen und Warnungen sind für den effektiven Einsatz eines RMM von zentraler Bedeutung. Gute Überwachungspraktiken ermöglichen es Ihnen, Probleme proaktiv zu erkennen, sie schneller zu beheben und effektiver zu arbeiten. Eine bessere Überwachung kann zudem eine Schlüsselrolle dabei spielen, zusätzliche Einnahmen zu generieren und die Zufriedenheit Ihrer Kunden zu steigern.

Die Herausforderung besteht darin, zu wissen, worauf man achten muss, was eine Warnung erfordert, welche Probleme automatisch gelöst werden können und welche einen persönlichen Eingriff erfordern. Es kann Jahre dauern, dieses Wissen aufzubauen, und selbst dann haben selbst die besten Teams oft noch Schwierigkeiten, die „Alarm-Müdigkeit“ und die Flut von Support-Tickets auf den Geräten der Kunden zu reduzieren.

Um Einsteigern dabei zu helfen, diese Einarbeitungszeit zu verkürzen und ihren Fokus einzugrenzen, haben wir diese Liste mit Ideen für über 25 zu überwachende Zustände zusammengestellt. Diese Empfehlungen basieren auf Vorschlägen unserer Partner und auf der Erfahrung von NinjaOne bei der Unterstützung von MSPs beim Aufbau einer effektiven, umsetzbaren Überwachung.

Für jeden Zustand beschreiben wir, was überwacht wird, wie der Monitor in NinjaOne eingerichtet wird und welche Aktionen ergriffen werden sollten, wenn der Zustand ausgelöst wird. Einige Überwachungsvorschläge sind konkret, während andere möglicherweise eine geringfügige Anpassung erfordern, um sie an Ihren Anwendungsfall anzupassen.

Diese Überwachungsideen sind natürlich nicht erschöpfend und lassen sich möglicherweise nicht auf jede Situation oder jeden Umstand anwenden. Sobald Sie damit begonnen haben, Ihre Überwachung anhand dieser Vorschläge aufzubauen, müssen Sie eine benutzerdefinierte und robustere Überwachungsstrategie entwickeln, die speziell auf Ihre Kunden und deren Bedürfnisse zugeschnitten ist. Wir schließen diesen Leitfaden mit weiteren Empfehlungen ab, die Sie dabei unterstützen sollen und die Überwachung, Alarmierung und Ticketverwaltung zu einem Wettbewerbsvorteil für Ihren MSP machen.

Überwachung des Gerätezustands

Überwachen Sie fortwährend kritische Ereignisse
  • Zustand: Kritische Ereignisse
  • Schwellenwert: 80 kritische Ereignisse innerhalb von 5 Minuten
  • Aktion: Ticket erstellen und untersuchen
Erkennen, wenn ein Gerät unbeabsichtigt neu gestartet wird
  • Zustand: Windows-Ereignis
  • Ereignisquelle: Microsoft-Windows-Kernel-Power
  • Ereignis-ID: 41
  • Hinweis: Dieser Zustand eignet sich besser für Server, da dieser Fehler bei Workstations und Laptops durch Benutzereingriffe erstellt werden kann
  • Aktion: Ticketerstellung und Untersuchung
Geräte identifizieren, die einen Neustart benötigen
  • Zustand: Aktive Systemzeit
  • Empfohlener Schwellenwert: 30 oder 60 Tage
  • Maßnahme: Starten Sie das Gerät in einem geeigneten Zeitfenster neu. Bei Workstations kann eine automatisierte Behebung funktionieren.
Auf Offline-Endpunkte überwachen
  • Zustand: Geräteausfall
  • Empfohlener Schwellenwert:
    • 10 Minuten oder weniger (Servers)
    • 5 Tage oder länger (Arbeitsstationen)
  • Aktion:
    • Ticketerstellung und Untersuchung
    • Wake-on-LAN (nur Server)
Auf Hardware-Änderungen überwachen
  • Aktivität: System
  • Name: Adapter hinzugefügt/geändert, CPU hinzugefügt/entfernt, Laufwerk hinzugefügt/entfernt, Arbeitsspeicher hinzugefügt/entfernt
  • Aktion: Ticket erstellen und untersuchen
Überwachung auf anhaltend hohe CPU-Auslastung
  • Zustand: CPU• Schwellenwerte: 90 % oder mehr, um Fehlalarme zu reduzieren; Werte von 95 % oder mehr sind über einen Zeitraum von 15 Minuten oder länger ebenfalls gewöhnlich
  • AKTION: Ticketerstellung und Untersuchung

Laufwerk-Überwachung

Überwachen von potenziellen Fehlern an Datenträgern
  • Zustand: Windows SMART-Status herabgesetzt
  • Zustand: Windows-Ereignis
  • Ereignisquelle: Datenträger
  • Ereignis-IDs: 7, 11, 29, 41, 51, 153
  • Aktion: Ticketerstellung und Untersuchung
Erkennen, wenn der Speicherplatz des Datenträgers seiner Kapazitätsgrenze nähert sich
  • Zustand: Freier Festplattenspeicher
  • Schwellenwert: 20 % und erneut bei 10 %
  • Aktion: Festplattenbereinigung durchführen und temporäre Dateien löschen
Auf potenzielle RAID-Fehler überwachen
  • Zustand: RAID-Integritätsstatus
  • Schwellenwerte: Kritisch und nicht-kritisch für alle Attribute
  • Aktion: Ticket erstellen und untersuchen
Überwachen Sie eine anhaltend hohe Datenträgerverwendung
  • Zustand: Datenträgerverwendung
  • Schwellenwerte: 90 % oder mehr, um Fehlalarme zu reduzieren; Werte von 95 % oder mehr sind über Zeiträume von 30 oder 60 Minuten ebenfalls gewöhnlich
  • Aktion: Ticket erstellen und untersuchen
Überwachung auf hohe Festplattenaktivitätsrate
  • Zustand: Aktive Datenträgerzeit
  • Schwellenwerte: Größer als 90 % über einen Zeitraum von 15 Minuten
  • Aktion: Ticket erstellen und untersuchen
Überwachung auf hohe Speicherauslastung
  • Zustand: Aktive Datenträgerzeit
  • Schwellenwerte: Größer als 90 % für 15 Minuten
  • Aktion: Ticket erstellen und untersuchen

Anwendungsüberwachung

Feststellen, ob erforderliche Anwendungen auf einem Endpunkt existieren
  • Zustand: Software
  • Verwendung:
    • Kunden-Branchenanwendungen (Beispiele: AutoCAD, SAP, Photoshop)
    • Client-Produktivitätslösungen (Beispiele: Zoom, Microsoft Teams, DropBox, Slack, Office, Acrobat)
    • Client-Support-Werkzeuge (Beispiele: TeamViewer, CCleaner, AutoElevate,
    • BleachBit)
  • Aktion: Die Anwendung automatisch installieren, falls sie fehlt und erforderlich ist
Überwachen, ob kritische Anwendungen ausgeführt werden (insbesondere bei Servern)
  • Zustand: Prozess / Service
  • Schwellenwert: Seit mindestens 3 Minuten inaktiv
  • Beispielprozesse:
    • Für Arbeitsstationen: TeamViewer, RDP, DLP
    • Für einen Exchange-Server: MSExchangeServiceHost, MSExchangeIMAP4, MSExchangePOP3 usw.
    • Für einen Active-Directory-Server: Netlogon, dnscache, rpcss usw.
    • Für einen SQL-Server: mssqlserver, sqlbrowser, sqlwriter usw.
  • Aktion: Starten Sie den Dienst oder Prozess neu
Überwachen Sie die Nutzung der Ressourcen von Anwendungen, von denen bekannt ist, dass sieLeistungsprobleme bei „
“verursachen
  • Zustand: Prozessressource
  • Schwellenwert: 90 %+ für mindestens 5 Minuten
  • Beispielprozesse: Outlook, Chrome und TeamViewer
  • Aktion:
    • Ticketerstellung und Untersuchung
    • Beim Hochfahren deaktivieren
Auf Anwendungsabstürze überwachen
  • Zustand: Windows-Ereignis
  • Quelle: Anwendungsstillstand
  • Ereignis-ID: 1002
  • Aktion: Ticket erstellen und untersuchen

Netzwerk-Überwachung

Auf unerwartete Bandbreitennutzung überwachen
  • Zustand: Netzwerkauslastung
  • Richtung: Raus
  • Schwellenwert: Die Schwellenwerte werden nach dem Typ des Endpunkts und der Netzwerkkapazität festgelegt
    • Jeder Server sollte je nach Anwendungsfall einen eigenen Schwellenwert haben
    • Die Schwellenwerte für die Netzwerk-Überwachung von Arbeitsstationen sollten hoch genug sein, damit sie nur dann ausgelöst werden, wenn das Netzwerk eines Clients gefährdet ist
  • Aktion: Ticketerstellung und Untersuchung
Sicherstellen, dass die Netzwerkgeräte aktiv sind
  • Zustand: Geräteausfall
  • Dauer: 3 Minuten
Überwachen, welche Ports offen sind
  • Zustand: Cloud-Monitor
  • Ports: 80 (HTTP), 443 (HTTPS), 25 (SMTP), 21 (FTP)
Verfügbarkeit derClient-
-Webseiteüberwachen
  • Überwachung: Ping
  • Ziel: Kunden-Webseite
  • Zustand: Fehler (5 Mal)
  • Aktion: Ticketerstellung und Untersuchung

Sicherheitsüberwachung

Feststellen, ob die Windows-Firewall ausgeschaltet wurde
  • Zustand: Windows-Ereignis
  • Ereignisquelle: System
  • Ereignis-ID: 5025
  • Aktion: Windows-Firewall einschalten
Feststellen, ob Virenschutz- und Sicherheitstools auf einem Endpunkt installiert sind und/oder ausgeführt werden
  • Zustand: Software
  • Anwesenheit: Existiert nicht
  • Software (Beispiele): Huntress, Cylance, Threatlocker, Sophos
  • Aktion: Die Installation der fehlenden Sicherheitssoftware automatisieren

    UND
  • Zustand: Prozess / Service
  • Zustand: Inaktiv
  • Prozess (Beispiele): threatlockerservice.exe, EPUpdateService.exe
  • Aktion: Den Prozess neu starten
Auf erkannte Bedrohungen durch nicht integrierte AV-/EDR-Lösungen überwachen
  • Zustand: Windows-Ereignis
  • Beispiel (Sophos)
    • Ereignisquelle: Sophos Virenschutz
    • Ereignis-IDs: 6, 16, 32, 42
Überwachung auf fehlgeschlagene Anmeldeversuche von Nutzern
  • Zustand: Windows-Fehler
  • Ereignisquelle: Microsoft-Windows-Security-Auditing
  • Ereignis-ID: 4625, 4740, 644 (lokale Konten); 4777 (Domänenanmeldung)
  • Aktion: Ticket erstellen und untersuchen
Überwachung der Erstellung, Erhöhung der Berechtigungen oder Löschung von Benutzern„
“ auf einem Endpunkt
  • Bedingung: Windows-Fehler
  • Ereignisquelle: Microsoft-Windows-Security-Auditing
  • Ereignis-ID: 4720, 4732, 4729
  • Aktion: Ticket erstellen und untersuchen
Ermitteln, ob die Laufwerke auf einem Endpunkt
verschlüsselt oder unverschlüsseltsind
  • Zustand: Scriptergebnis
  • Skript (benutzerdefiniert): Verschlüsselungsstatus prüfen
  • Aktion: Ticket erstellen und untersuchen
Überwachen Sie Backup-Fehler (NinjaOne Backup)
  • Aktivität: NinjaOne Backup
  • Name: Backup-Job fehlgeschlagen
Überwachung von Backup-Fehlern (andere Backup-Anbieter)
  • Zustand: Windows-Ereignis
  • Beispielquelle / IDs (Veeam):
    • Ereignisquelle: Veeam Agent
    • Ereignis-IDs: 190
  • Text enthält: Fehlgeschlagen
  • Beispielquelle / IDs (Acronis):
    • Ereignisquelle: Online-Backup-System
    • Ereignis-ID: 1
    • Text enthält: Fehlgeschlagen

4 Schlüssel zur Optimierung Ihrer Überwachung

  1. Erstellen Sie eine Vorlage für die Basisüberwachung des Gerätezustands.
  2. Sprechen Sie mit Ihren Kunden über deren Prioritäten.
    • Welche Server und Workstations sind wichtig?
    • Was sind ihre kritischen Anwendungen oder Anwendungen zur Produktivitäts
      ?
    • Wo sind ihre IT-Schwachstellen?
  3. Überwachen Sie Ihr PSA-/Ticketing-System auf wiederkehrende Probleme.
    • Passen Sie die Warnungen an, um unnötige Tickets zu vermeiden.
  4. Überwachen Sie die Ereignisprotokolle Ihrer Kunden auf wiederkehrende Probleme.

Best Practices für Ticketerstellung und Warnungen

  1. Lösen Sie Warnungen nur bei handlungsrelevanten Informationen aus – wenn Sie keine konkrete Maßnahme für einen Monitor festgelegt haben, sollten Sie diesen nicht überwachen.
  2. Kategorisieren Sie Ihre Warnungen, damit sie an verschiedene Service-Boards in Ihrem PSA weitergeleitet werden.
  3. Führen Sie regelmäßig Besprechungen zur Optimierung der Warnungen durch, um diese Themen zu erörtern.
    • Welche Warnungen verursachen den meisten „Lärm“? Können sie entfernt oder in ihrem Umfang eingeschränkt werden?
    • Was wird nicht überwacht oder erstellt Benachrichtigungen, obwohl dies eigentlich der Fall sein sollte?
    • Welche gewöhnlichen Warnungen lassen sich automatisch beheben?
    • Gibt es anstehende Projekte, die möglicherweise Warnungen generieren könnten?
  4. Bereinigen Sie Ihre Tickets und Warnungen, sobald sie aufgelöst sind. 
    • In NinjaOne verfügen viele Bedingungen über die Optionen „Zurücksetzen, wenn nicht mehr zutreffend“ oder „Zurücksetzen, wenn x Zeiträume lang nicht zutreffend“, um Ihnen dabei zu helfen, Benachrichtigungen aufzulösen und zu bereinigen, die sich möglicherweise von selbst auflösen.

FAQ

Nächste Schritte