-
Mit Native AD Auditing
-
Mit ADAudit Plus
Vereinfachte Überwachung von Berechtigungsänderungen mit ADAudit Plus
Mit den einfachen, leicht zu lesenden Berichten von ADAudit Plus genügt ein einziger Klick, um vollständige Details darüber abzurufen, wer die Datei-/Ordnerberechtigungen wann und von welchem Rechner aus geändert hat. Der genaue Wert der geänderten Berechtigung wird ebenfalls aufgelistet. Diese Berichte können exportiert und auch so geplant werden, dass sie automatisch zu den angegebenen Zeiten erstellt und an Ihren Posteingang gesendet werden. Sie können auch Warnmeldungen konfigurieren, die Sie benachrichtigen, wenn die Berechtigungen von kritischen Dateien/Ordnern geändert werden. Auf diese Weise können Sie sofort Maßnahmen ergreifen.
Melden Sie sich bei ADAudit Plus an → Registerkarte Dateiüberwachung → unter Dateiüberwachungsberichte → navigieren Sie zum Bericht Ordnerberechtigungsänderungen.
-
In diesem Bericht finden Sie unter anderem folgende Details:
- Datei-/Ordnername und Speicherort auf dem Server.
- Name des Benutzers, der die Berechtigung geändert hat
- Werte der neuen und alten ACL
- Geänderte Berechtigungen
- Server, auf dem sich die Datei/Ordner befindet
- Zeitpunkt, zu dem die Berechtigung geändert wurde
Die neuen und alten Werte Ihrer ACL werden ebenfalls im Detail angegeben.
Alte ACL:
Neue ACL:
Beachten Sie, dass in diesem Beispiel Mark Lloyd während dieser Berechtigungsänderung die volle Kontrolle erhalten hat. Anhand dieser Details können Sie weitere Untersuchungen durchführen, wenn Ihnen die Berechtigungsänderung bösartig erscheint. Wenn Sie die geänderten Berechtigungen nach dem Server filtern möchten, auf dem sich die Dateien/Ordner befinden, wechseln Sie einfach zu den serverbasierten Berichten und navigieren Sie zum Bericht "Geänderte Ordnerberechtigungen". Es wird ein ähnlicher Bericht angezeigt, der auf der Grundlage des von Ihnen gewählten Servers gefiltert ist. Um die von einem bestimmten Benutzer vorgenommenen Berechtigungsänderungen anzuzeigen, gehen Sie zu den benutzerbasierten Berichten und wählen Sie den Bericht "Geänderte Ordnerberechtigungen".
Natives Auditing
Mit dem nativen Auditing können Sie Änderungen an Datei- und Ordnerberechtigungen wie folgt überwachen:
-
Schritt 1: Aktivieren Sie die Richtlinie “Objektzugriff überprüfen”:
Öffnen Sie die lokale Sicherheitsrichtlinie. Gehen Sie zu Sicherheitseinstellungen und wählen Sie “Lokale Richtlinien”.
-
Wählen Sie unter Überwachungsrichtlinie die Option "Objektzugriff überprüfen" und schalten Sie die Überprüfung sowohl für den Erfolg als auch für den Misserfolg ein.
-
Schritt 2: Bearbeiten Sie den Überwachungseintrag in der jeweiligen Datei/dem jeweiligen Ordner
Suchen Sie die Datei oder den Ordner, deren Berechtigungsänderungen Sie verfolgen möchten. Klicken Sie mit der rechten Maustaste darauf und gehen Sie zu Eigenschaften. Klicken Sie auf der Registerkarte Sicherheit auf die Schaltfläche “Erweitert”.
-
Gehen Sie im Fenster Erweiterte Sicherheitseinstellungen für Active Directory auf die Registerkarte Überwachung, und klicken Sie auf die Schaltfläche “Hinzufügen”, um einen neuen Überwachungseintrag hinzuzufügen.
-
Geben Sie im Dialogfeld Überwachungseintrag für Active Directory die folgenden Details ein:
- Prinzipal: Geben Sie die Namen der Benutzer ein, deren Zugriff Sie überprüfen möchten.
- Typ: Wählen Sie die Art des Zugriffs, den Sie überprüfen möchten. Am besten ist es, wenn Sie "Alle" Änderungen überprüfen.
- Gilt für: Wählen Sie aus, ob Sie die Berechtigungsänderungen nur für diese Datei oder für alle Unterordner und Dateien überprüfen möchten.
- Grundlegende Berechtigungen: Wählen Sie die Arten von Berechtigungen, die Sie überprüfen möchten. Klicken Sie für Ihren speziellen Bedarf auf "Erweiterte Berechtigungen" und wählen Sie "Berechtigungen ändern".
-
Schritt 3: Prüfprotokolle im Event Viewer anzeigen
Jedes Mal, wenn ein Benutzer auf die ausgewählte Datei bzw. den ausgewählten Ordner zugreift und die Berechtigung dafür ändert, wird ein Ereignisprotokoll im Event Viewer aufgezeichnet. Um dieses Protokoll anzuzeigen, gehen Sie zum Event Viewer. Wählen Sie unter Windows-Protokolle die Option “Sicherheit”. Sie finden alle Überwachungsprotokolle im mittleren Bereich wie unten dargestellt.
-
Um die Ereignisprotokolle so zu filtern, dass nur die Protokolle über die Änderungen der Datei-/Ordnerberechtigungen angezeigt werden, wählen Sie im rechten Fensterbereich die Option “Aktuelles Protokoll filtern”. Suchen Sie einfach nach der Ereignis-ID 4670, die Änderungen von Datei-/Ordnerberechtigungen anzeigt.
-
Im mittleren Bereich werden nun alle an Dateien/Ordnern vorgenommenen Berechtigungsänderungen angezeigt. Klicken Sie auf eine beliebige Datei und zeigen Sie deren Eigenschaften an.
-
-Für weitere Informationen über die genaue Berechtigung, die geändert wurde, können Sie die alte und die neue Sicherheitsbeschreibung untersuchen.
Wird Ihnen das Native Auditing ein wenig zu viel?
Vereinfachen Sie die Dateiserver-Überprüfung und -Berichterstellung mit ADAudit Plus.
Erhalten Sie Ihre kostenlose Testversion Voll funktionsfähige 30-Tage-Testversion