Sådan sporer du oprettelse og sletning af filer/mapper i Windows

Med indbygget AD-overvågning
Med ADAudit Plus

Rapport med ét klik til at spore oprettelse og sletning af filer/mapper med ADAudit Plus

ADAudit Plus kan generere omfattende rapporter, der samler alle de oplysninger, du har brug for, om filer/mapper, der oprettes eller slettes på dine servere. Disse rapporter kan eksporteres og planlægges til at blive genereret automatisk på de angivne tidspunkter og leveret til din indbakke. Du kan også konfigurere advarsler, der giver dig besked, når kritiske filers/mappers tilladelser slettes. På den måde kan du skride ind med det samme.

Log ind på ADAudit Plus → Gå til fanen Filovervågning → Under Filovervågningsrapporter → Naviger til rapporten Filer oprettet for at se oprettede filer/mapper.

Du kan få følgende oplysninger i denne rapport:

1. Navnet på den oprettede fil/mappe
2. Hvilken server den blev oprettet på
3. Hvem der oprettede den
4. Hvornår den blev oprettet
5. Objektets egenskaber, herunder ACL
6. Klientmaskine, hvorfra filen/mappen blev oprettet
Alt sammen med bare et enkelt klik. Denne rapport indeholder også en graf, der viser serverne med det højeste antal filoprettelser. En tilsvarende rapport er tilgængelig for at konsolidere filsletningshandlinger. Naviger gennem Filovervågningsrapporter for at finde rapporten Filer slettet. Oplysningerne i denne rapport omfatter:
1. Navnet på den slettede fil/mappe
2. Hvilken server den blev slettet fra
3. Hvem der slettede den
4. Hvornår den blev slettet
5. Klientmaskine, hvorfra filen/mappen blev slettet
Hvis du vil filtrere de oprettede/slettede filer/mapper, afhængigt af på server filerne/mapperne ligger, skal du blot skifte til Serverbaserede rapporter og navigere til rapporterne Filer oprettet og Filer slettet. Disse rapporter ligner dem, der er forklaret ovenfor, men er filtreret ud fra den server, du vælger. Hvis du vil se de filer/mapper, der er oprettet eller slettet af en bestemt bruger, skal du gå til Brugerbaserede rapporter og bruge rapporterne Filer oprettet og Filer slettet.

Sådan kan du overvåge oprettelse og sletning af filer/mapper:

Trin 1: Aktivér politik for overvågning af objektadgang:

Åbn Lokal sikkerhedspolitik. Gå til Sikkerhedsindstillinger, og vælg Lokale politikker.
Under Overvågningspolitik skal du vælge "Overvåg objektadgang" og slå overvågning til for både vellykket og mislykket.
Trin 2: Rediger overvågningspost i den respektive fil/mappe

Find den overordnede mappe, hvori du vil spore oprettelse og sletning af filer/undermapper. Højreklik på den, og gå til Egenskaber. Under fanen Sikkerhed skal du klikke på Avanceret.
I Avancerede sikkerhedsindstillinger skal du gå til fanen Overvågning og klikke på Tilføj for at tilføje en ny overvågningspost.
I dialogboksen Overvågningspost for Active Directory skal du indtaste følgende oplysninger:
1. Principal: Indtast navnene på de brugere, du ønsker at overvåge adgangen for.
2. Type: Vælg den adgangstype, du vil overvåge. Det anbefales at overvåge "Alle" ændringer.
3. Gælder for: Vælg, om du kun vil overvåge oprettelse og sletning af filer/mapper i denne mappe eller i alle undermapper.
4. Grundlæggende tilladelser: Vælg de tilladelsestyper, du vil overvåge. Klik på knappen Avancerede tilladelser til højre, og vælg følgende:
  1. Oprette filer/skrive data
  2. Oprette mapper/tilføje data
  3. Slette undermapper og filer
Trin 3: Se overvågningslogs i Logbog

Hver gang en bruger får adgang til den valgte fil/mappe og ændrer tilladelsen til den, bliver der registreret en hændelseslog i Logbogen. Under Windows-logfiler skal du vælge Sikkerhed. Du kan finde alle overvågningslogfilerne i den midterste rude som vist nedenfor.
Hvis du vil filtrere hændelseslogfilerne, så du kun ser dem om filer/mapper, der er oprettet og slettet, skal du vælge Filtrer aktuel log i højre rude. Du skal blot søge efter hændelses-ID 4656, som angiver, at der blev anmodet om et adgangshandle til et objekt.
Desværre giver disse filtre dig ikke bare en liste over oprettede filer/mapper. De skal kombineres med adgangsmasker, hvis du vil forstå, præcis hvilke filer/mapper der blev oprettet eller slettet.