-
Metoda natywnej inspekcji AD
-
Metoda z zastosowaniem ADAudit Plus
Kompleksowe raporty pozwalające śledzić dostęp do pliku/folderu za pomocą ADAudit Plus
ADAudit Plus to rozwiązanie IT ds. bezpieczeństwa i zgodności, które oferuje funkcję tworzenia całościowych raportów, aby skonsolidować wszystkie potrzebne informacje na temat dostępu do plików lub folderów na serwerach plików. Raporty te można eksportować oraz planować ich automatyczne tworzenie i dostarczanie na skrzynkę pocztową o wyznaczonych porach. Można również skonfigurować alerty z powiadomieniami o żądaniach dostępu do kluczowych plików/folderów. Dzięki temu można natychmiast podejmować działanie. Oto, jak można uzyskać dostęp do tych raportów za pomocą ADAudit Plus:
Uruchom ADAudit Plus i zaloguj się → przejdź do zakładki File Audit → następnie do obszaru File Audit Reports i wybierz opcję File Read Access.
-
- Oto szczegółowe informacje uwzględniane w tym raporcie:
- Do którego pliku uzyskano dostęp.
- Kto uzyskał dostęp do pliku.
- Kiedy uzyskano dostęp do pliku.
- Z którego urządzenia klienta uzyskano dostęp do pliku.
- Nazwa serwera, na którym jest przechowywany plik.
- Nazwa pliku.
- Nazwa użytkownika, który złożył nieprawidłowe żądanie.
- Czas złożenia żądania obsługi. Nazwa serwera, na którym znajduje się plik.
- Oto szczegółowe informacje uwzględniane w tym raporcie:
Metoda natywna
-
Stap 1: Schakel hKrok 1: Włącz zasadę Audit object access
-
Uruchom Group Policy Management Console (Uruchom --> gpedit.msc).
-
Utwórz nowy obiekt zasad grupy (GPO) i połącz go z domeną zawierającą serwer plików lub edytuj istniejący obiekt GPO połączony z odpowiednią domeną.
-
Przejdź do obszaru Computer Configuration -> Windows Settings -> Security Settings ->Local Policies -> Audit Policy.
-
W obszarze Audit Policy wybierz 'Audit object access' i włącz inspekcję pomyślnych i niepomyślnych prób uzyskania dostępu.
-
Przejdź do obszaru Advanced Audit Policy Configuration -> Audit Policies-> Object access. Włącz inspekcję w celu 'Audit file system' i 'Audit handle manipulation'.
-
Krok 2: Edytuj wpis inspekcji w odpowiednim pliku/folderze
Zlokalizuj plik lub folder, w przypadku którego chcesz śledzić wszystkie dostępy. Kliknij go prawym przyciskiem myszy i przejdź do Properties. W zakładce Security kliknij opcję Advanced.
-
W Advanced Security Settings przejdź do zakładki Auditing i kliknij Add, aby dodać nowy wpis inspekcji.
-
W oknie dialogowym Auditing Entry for Active Directory wpisz następujące informacje:
- Principal: wpisz nazwy użytkowników, których dostępy chcesz poddać inspekcji.
- Type: wybierz typ dostępu, który chcesz poddać inspekcji. Najlepiej poddawać inspekcji All zmiany.
- Applies to: wybierz, czy chcesz poddać inspekcji dostęp wyłącznie do tego pliku czy do wszystkich podfolderów i plików.
- Basic permissions: wybierz typy uprawnień, które chcesz poddać inspekcji. Kliknij przycisk Advanced permissions i wybierz “Traverse Folder/Execute File”, “List Folder/Read data”, “Read attributes”, oraz “Read extended attributes”.
-
Krok 3: Wyświetl dziennik inspekcji w Event Viewer
Za każdym razem, gdy użytkownik uzyskuje dostęp do wybranego pliku/folderu i zmienia uprawnienia do niego, w Event Viewer zapisywany jest dziennik zdarzenia. Aby wyświetlić dziennik inspekcji, przejdź do Event Viewer. W obszarze Windows Logs wybierz opcję Security. Wszystkie dzienniki inspekcji można znaleźć w środkowej części, tak jak pokazano to poniżej.
-
Aby przefiltrować dzienniki zdarzeń tak, by wyświetlać jedynie dzienniki dotyczące zmian uprawnień do pliku/folderu, wybierz znajdującą się po prawej stronie opcję Filter Current Log. Wyszukaj zdarzenia o identyfikatorach ID 4656 i 4663, które wskazują na zmiany uprawnień do pliku/folderu. Możesz zobaczyć, kto uzyskał dostęp do pliku w polu “Account Name” oraz czas dostępu w polu “Logged”.
