Аудит доступа к файлам и папкам в NTFS
Содержание лекции: Аудит доступа к файлам и папкам в NTFS
Расшифровка лекции: Аудит доступа к файлам и папкам в NTFS
Полный текст первых минут лекции «Аудит доступа к файлам и папкам в NTFS» из видеокурса PracticU – субтитры с временной меткой для каждого абзаца. Так можно прочитать и найти нужные темы ещё до начала обучения.
Добро пожаловать на лекцию про auditing, документацию. Мы хотим знать, кто стер у нас файл в нашей важной папке Project1. Вот у нас здесь есть разные файлы, мы хотим знать, кто из пользователей стирает нам файлы.
И для этого мы заходим в свойства и идем в NTFS Security. Заметьте, это только в NTFS существует, на FAT32 такого невозможно сделать, потому что нету этой всей системы auditing.
И у нас здесь есть кроме этого списка с правами доступа ACL, кстати это тот же самый список, который и здесь, это список с правами доступа, он одинаковый, просто более детализированный в закладке Advanced, он более расширенный.
У нас есть еще один список, который ведет NTFS, и это список Auditing, что документировать. Мы нажимаем на Continue, и вот открылся список, он сейчас пустой.
Видите, есть первый список с правами доступа, и второй список, который ведет NTFS с Auditing, что записывать, зачем следить, что документировать.
Так, мы делаем Auditing, нажимаем Add, добавляем в этот список, который сейчас пустой. За кем мы хотим следить. Select a security principle.
Principle это объект в security, за которым мы хотим следить. И давайте посмотрим, кто у нас здесь есть. У нас есть пользователи.
У нас есть группы, например, группа администраторов или конкретный пользователь, например, David. Мы решаем, за кем мы хотим следить.
Я хочу, например, everyone, то есть за всеми пользователями. Это группа, в которой все всегда состоят и нельзя из этой группы никак выйти. Теперь мне надо выбрать за каким действием я хочу, за удачным действием, например, считывание информации, запись информации, удаление информации, удачный результат или попытка, которая была неудачна, например, ты попытался записать что-то и
тебе система NTFS отказала, потому что у тебя нет прав, но я хочу знать, что ты пробовал и это называется Type Fail. Я говорю, что я сейчас не хочу за всеми попытками.
То есть я могу следить и за удачными, и за неудачными попытками. То есть если тебе запрещено что-то делать, но ты все равно пытаешься, я узнаю об этом.
На данный момент я хочу только удачные случаи удаления файла. Это то, что меня интересует на данный момент. Эту задачу передо мной поставили мои начальники.
Мы видим, на кого будет распространена эта настройка. На эту папку, на все под папки и на все файлы Я могу также сказать, что это будет только на файлы или только на под папки Это обычно никто не трогает все на файлы и под папки И я не хочу Read, меня Read не интересует Я не хочу лишней информации в журнале
событий Я нажимаю Show Advanced Permissions и отмечаю только Delete Меня только удаление интересует Эту задачу передо мной поставили И я не хочу лишнего шума в журнале событий Все, мы поставили Everyone, Success, Everyone и Delete.
Все, нажимаем ОК. И теперь эта настройка на уровне папки перейдет по наследству ко всем файлам. Мы можем нажать Security на конкретном файле, например, файл номер 8.
И посмотреть, что на этом файле закладки Auditing, и мы сейчас находимся на уровне объекта конкретного файла, К нему по наследству перешли требования к аудитингу, к документации.
Видите, здесь даже написано, откуда он получает наследство. Он получает в правах доступа наследство из папки C, из папки D, Project 1. То есть наследство переходит к нему со всех предыдущих его отцов.
И то же самое происходит в аудитинг, в документации. У нас тоже настройка перешла с уровня папки по наследству.
Это очень удобно, вот эта система наследства, она экономит нам силы, чтобы не надо было на каждом файле, на каждом документе Word, на каждом Excel раздавать права вручную.
Каждый новый файл по наследству получает все настройки, которые приняты в этой папке и в папках сверху. Прекрасно. Теперь мы видим, что у нас на конкретном файле есть эта настройка, файл 8.
И мы хотим попробовать его удалить и посмотреть, что в журнале событий действительно запишется это событие и что система работает. Как вы понимаете, Windows не может кричать и не может зажигать красные лампочки, не может звонить нам на телефон.
Поэтому все, что ему остается делать по умолчанию, это записывать в журнал событий свои события. И есть разные журналы по темам. Нас интересует сейчас журнал Security.
Давайте освободим немножко места на экране. И в журнале Security есть много разных событий. Я хочу очистить весь журнал.
Я стираю все события. Видите, журнал стал пустым. И теперь я удаляю этот файл и делаю рефреш на журнал. Хочу увидеть, что там записалось.
И ничего не записалось. Он ничего не записал. Почему? Потому что мы не включили глобальную систему документации, который находится в Group Policy, в GP Edit. То есть то, что мы на уровне файла сказали, мы хотим что-то задокументировать, этого
недостаточно. Нам надо пойти в Group Policy, в Windows Settings, в Security Settings, в Advanced Policy, Advanced Policy Configuration.
И в нем есть, например, такие категории, как Logon, Logo, вход и выход из системы. Но нас сейчас не интересует документация входов и выходов windows кто зашел в какое время нас интересует object access и здесь есть много разных вещей например регистр кто-то записал что-то в регистр нас
сейчас интересует auditing file system то есть только файловая система и мы хотим включить систему только в случае удачного действия все мы включаем