So finden Sie Berechtigungsänderungen auf Dateiservern

Netwrix Auditor für Windows-Dateiserver

• Starten Sie Netwrix Auditor → Navigieren Sie zu „Berichte“ → Erweitern Sie den Abschnitt „Dateiserver“ → Gehen Sie zu „Aktivitäten der Dateiserver“ → Wählen Sie „Berechtigungsänderungen“ → Klicken Sie auf „Anzeigen“.

• Um den Bericht zu speichern, klicken Sie auf die Schaltfläche „Exportieren“ → Wählen Sie ein Format aus dem Dropdown-Menü → Klicken Sie auf „Speichern“.
• Um den Bericht regelmäßig per E-Mail zu erhalten, klicken Sie auf die Schaltfläche „Abonnieren“ und wählen Sie den gewünschten Zeitplan aus.

Erfahren Sie mehr über Netwrix Auditor für Windows-Dateiserver

Native Auditing

• Navigieren Sie zum erforderlichen Dateifreigabe → Klicken Sie mit der rechten Maustaste darauf und wählen Sie "Eigenschaften" → Wechseln Sie zum Tab "Sicherheit" → Klicken Sie auf die Schaltfläche "Erweitert" → Wechseln Sie zum Tab "Überwachung" → Klicken Sie auf die Schaltfläche "Hinzufügen" → Wählen Sie Folgendes aus:
  • Principal: "Jeder"
  • Typ: "Alle"
  • Gilt für: „Diesen Ordner, Unterordner und Dateien“
  • Erweiterte Berechtigungen: „Unterordner und Dateien löschen“ und „Löschen“
• Führen Sie gpedit.msc aus → Erstellen und bearbeiten Sie eine neue GPO → Gehen Sie zu „Computerkonfiguration“ → Öffnen Sie „Richtlinien“ → Navigieren Sie zu „Windows-Einstellungen“ → Wählen Sie „Sicherheitseinstellungen“ → Gehen Sie zu „Lokale Richtlinien“ → Wählen Sie „Überwachungsrichtlinie“ → Unter „Zugriffsüberwachung von Objekten“ aktivieren Sie die Kontrollkästchen „Erfolg“ und „Fehler“.
• Navigieren Sie zu „Erweiterte Überwachungsrichtlinienkonfiguration“ → Wählen Sie „Überwachungsrichtlinien“ → Wählen Sie „Objektzugriff“ → Unter „Dateisystem überwachen“ aktivieren Sie die Kontrollkästchen „Erfolg“ und „Fehler“ → Unter „Handle-Manipulation überwachen“ aktivieren Sie die Kontrollkästchen „Erfolg“ und „Fehler“.
• Verknüpfen Sie die neue GPO mit Ihrem Dateiserver und erzwingen Sie das Gruppenrichtlinienupdate.
• Öffnen Sie die Powershell ISE → Erstellen Sie ein neues Skript mit dem folgenden Code und führen Sie es aus, indem Sie den Namen Ihres Dateiservers angeben und bei Bedarf den Zeitrahmen ändern (86400000ms deckt die letzten 24 Stunden ab):

      Get-WinEvent -ComputerName fs1 -LogName Security -FilterXPath "*[System[EventID=4670 and TimeCreated[timediff(@SystemTime) <= 86400000]] and EventData[Data[@Name='ObjectType']='File']]"  | fl | Out-File c:\data\permission_c.txt  
      

• Öffnen Sie die vom Skript erstellte Textdatei.

Aktivieren Sie die Änderungsüberwachung von Dateiserverberechtigungen, um jede Privilegienerweiterung zu erkennen

Privilegierte Benutzer haben enorme Macht über Ihre Windows-Dateiserver. Zum Beispiel können sie Objektzugriffsberechtigungen ändern, um Zugang zu sensiblen Daten auf Ihrem Dateisystem oder Dateiservern zu erhalten. Durch die Aktivierung der Windows-Server-Überwachung von Berechtigungsänderungen an Dateien, Ordnern und Freigaben können Sie Zugriffsrechte überwachen und steuern, wodurch das Risiko einer Privilegienerweiterung minimiert wird. Der erste Schritt besteht darin, Objektzugriffsberechtigungen zu überprüfen, indem Änderungsereignisse in das Sicherheitsprotokoll geschrieben werden, entweder mit einer Active Directory-Domänengruppenüberwachungsrichtlinie oder mit den in lokalen Richtlinien auf Windows Server definierten Sicherheitseinstellungen.

Wo finden Sie Änderungen an Ordnerberechtigungen im Ereignisprotokoll? Sie können entweder manuell nach der Ereignis-ID 4670 suchen oder PowerShell-Skripte verwenden, die darauf ausgelegt sind, Änderungen an Sicherheitszugriffskontrolllisten (SACLs) zu verfolgen. Stellen Sie jedoch sicher, dass Sie genügend Zeit zur Verfügung haben, denn das Identifizieren der Vorher- und Nachher-Werte für eine in der Sicherheitsdeskriptor-Definitionssprache (SDDL) geschriebene Änderung ist keine leichte Aufgabe. Gibt es einen besseren Weg?

Netwrix Auditor ermöglicht die Überwachung des Objektzugriffs über Ihre Windows-Dateiserver, EMC-Speichergeräte und NetApp-Filer hinweg, was Ihr Leben vereinfacht und Ihnen Sicherheit gibt. Die Plattform bietet Sichtbarkeit in alle Änderungen und alle Zugriffsereignisse (sowohl erfolgreiche als auch fehlgeschlagene) über Ihre Dateispeicher hinweg. Jedes Änderungsereignis enthält leicht verständliche Details darüber, wer welche Berechtigungen an welchen Dateien geändert hat, sowie Informationen darüber, wann und wo es passiert ist, sodass Sie eine Privilegienerweiterung erkennen können, bevor ein Schaden entsteht.