Auditoria de arquivos no Windows

8

Acredito que não há outra maneira de verificar um sistema Windows (por exemplo, o Windows 7) que tenha copiado ou acessado um arquivo ou pasta, exceto para ativar a Auditoria de Arquivos na Diretiva de Segurança Local.

Agora que habilitei a política (Configurações de segurança> Política de auditoria> Acesso ao objeto de auditoria (êxito, falha)) , minha pergunta é como saber agora se alguém copiou / visualizou / modificou o arquivo / pasta?

windows event-log

— Raystafarian
fonte

6

Como já temos a Auditoria de Diretiva Local definida com suas preferências, o que precisamos fazer é procurar Eventos de Segurança, seguindo:

Painel de Controle> Ferramentas Administrativas> Visualizador de Eventos> Logs do Windows> Segurança

Então olhamos para os eventos mencionados. A lista de todos esses eventos de segurança plausíveis está listada em technet.microsoft.com - Configurações de diretiva de auditoria em Diretivas locais \ Diretiva de auditoria

Para eventos específicos para o acesso ao Diectory, consulte technet.microsoft.com - Acesso ao serviço de diretório de auditoria

— Hashfyre
fonte

Pelo que entendi, os logs de eventos dos IDs de eventos (e também tentei) serão gerados apenas para os objetos (arquivos) nos quais clico com o botão direito do mouse> Propriedades> Segurança> Avanços> Auditoria e, em seguida, adiciono um usuário específico para quem posso auditar. O que eu quero é para todos os arquivos em um campo; Sou capaz de realizar auditoria para qualquer usuário do meu domínio, pois não é possível adicionar usuários manualmente. Isso será possível?

1

Lidar com dados de auditoria de arquivos pode ser uma bagunça, especialmente para PCI ou para outras necessidades de todo o servidor. Existem vários produtos no mercado que podem ajudar, mas a maioria deles depende do log de eventos.

Nossa empresa possui uma que pode fazer isso sem o log de eventos; é chamado FileSure e você pode encontrá-lo aqui: http://www.bystorm.com

Para ser justo, nosso melhor concorrente é o File System Auditor da Quest e eles também não usam o log de eventos.

A cópia de arquivos e / ou roubo de dados é mais difícil de detectar, pois enquanto seus dados estão no servidor, é mais provável que a cópia esteja ocorrendo em uma estação de trabalho. Sei que o FileSure também pode ajudar nisso ... Não sei se nossos concorrentes podem.

— Desconhecido
fonte