Admin Freigaben bzw generell FileSystem Access tracken

[Sty_Stoned]

Hallo zusammen,

da ich immer wieder das Gefühl habe, dass auf einigen Maschinen c$ ausgenutzt wird, habe ich mich auf die Suche gemacht, ein Tool zu finden, das mir sämtliche Datei Aktionen (öffnen, kopieren,...) darlegt.
Es gibt sicher die Möglichkeit das über GPOs auszulesen (NTFS Auditing oder) aber das ist doch recht umständlich... Gibt es nicht ein Tool, das im Hintergrund läuft und protokolliert, wenn ein anderer PC auf das Filesystem des hiesigen PC zugreift?

Wie würdet ihr Profis das handhaben?

Vielen Dank im Voraus!

 

[wirelessy]

Filesystem-Access: Brutal viele Logs, will man nicht machen.

SMB hat Logs:

• Microsoft-Windows-SMBServer/Connectivity
• Microsoft-Windows-SMBServer/Operational
• Microsoft-Windows-SMBServer/Security

Anschalten, freuen.

 

[Mr.Blacksmith]

Wie würdet ihr Profis das handhaben?

Keine Ahnung, ob ich mich als Profi betitulieren sollte, aber genau so: Gruppenrichtlinien. Da die Eventlogs gewisser wichtiger Maschinen extern gespeichert werden in der AD hier, dann noch ne Suchmaske übers Security-Eventlog und evola, nach 3 Klicks seh ich, wer was wann unter welchem Account getan hat oder auch nicht...;-).

 

[Sty_Stoned]

Danke für eure Antworten. Was wären denn dann die Event IDs? 4656?

Dann muss ich mich wohl doch nochmal mit den GPO und logs auseinandersetzen...

 

[Mr.Blacksmith]

Vorhandene Dateizugriffsereignisse wären 4656 und / oder 4663.

Vergiss in dem Zusammenhang nicht, die Größe des Ereignisprotokolls zu erhöhen! Ansonsten werden Events überschrieben, die Du vielleicht sehen willst. Und Dateizugriffsüberwachung erzeugt ne Menge Einträge...die Speicherplatz benötigen...;-).

 

[Sty_Stoned]

ja ich hab es jetzt mal auf 500mb gesetzt. Problem ist aber, dass gerade das AntiViren Programm und andere Tools da offensichtlich gut reinschreiben. Kann ich das LogFile mit einem Freeware Toll gut durchforsten?
Die User Suche geht scheinbar von Haus aus nicht, was meine ersten Tests zeigen, da diese Info in der Description steht, nach der ich offensichtlich nicht suchen kann...