アンガーマックスを使ってるのを見たという報告を見て、
ツールかも、とＳＴＦが解釈したのは役目上仕方ないですが、そこで報告の真偽をまずログ解析して確かめなかったんですか？
なぜ単に監視開始して終了なのでしょうか。
ログ解析をして使われていたことさえ確認していれば、監視の結果ツールの線が消えたとしても、異常が起きていた事自体は明白ですよね。
そこがさっぱりわからない内容ですね。
まぁ人のする事ですからうっかりという事なのでしょうが。