Wie man erkennt, wer eine Datei auf Windows-Dateiservern gelesen hat

Native Auditing

1. Navigieren Sie zum erforderlichen Dateifreigabe → Klicken Sie mit der rechten Maustaste darauf und wählen Sie "Eigenschaften".
2. Wechseln Sie zum Tab „Sicherheit“ → Klicken Sie auf die Schaltfläche „Erweitert“ → Gehen Sie zum Tab „Überwachung“ → Klicken Sie auf die Schaltfläche „Hinzufügen“.
3. Konfigurieren Sie die folgenden Einstellungen: Principal: "Jeder"; Typ: "Alle"; Anwenden auf: "Diesen Ordner, Unterordner und Dateien"; Erweiterte Berechtigungen: "Ordner auflisten / Daten lesen" → Klicken Sie dreimal auf "OK".
4. Melden Sie sich an Ihrem Domaincontroller an und führen Sie gpmc.msc aus → Erstellen Sie eine neue GPO und definieren Sie deren Namen → Gehen Sie zu „Computer-Richtlinie“ → Klicken Sie auf „Computerkonfiguration“ → Wählen Sie „Windows-Einstellungen“ → Klicken Sie auf „Sicherheitseinstellungen“ und aktivieren Sie die folgenden Einstellungen:
   • Lokale Richtlinien → Überwachungsrichtlinie → Zugriff auf Objekte überwachen → Definieren → Erfolge und Fehler
   • Erweiterte Überwachungsrichtlinienkonfiguration → Systemüberwachungsrichtlinien → Objektzugriff → Überwachung des Dateisystems → Definieren → Erfolge und Fehler
   • Erweiterte Überwachungsrichtlinienkonfiguration → Systemüberwachungsrichtlinien → Objektzugriff → Überwachung der Handle-Manipulation → Definieren → Erfolge und Fehler
5. Gehen Sie zum Ereignisprotokoll → Definieren und spezifizieren Sie die folgenden Einstellungen:
   • Maximale Sicherheitsprotokollgröße: 4GB
   • Aufbewahrungsmethode für Sicherheitsprotokoll: „Ereignisse bei Bedarf überschreiben“
6. Verknüpfen Sie die neue GPO mit einer OU mit Dateiservern wie folgt: Gehen Sie zu "Gruppenrichtlinienverwaltung" → Rechtsklicken Sie auf die OU → Klicken Sie auf "Vorhandene GPO verknüpfen" → Wählen Sie die von Ihnen erstellte GPO aus.
7. Erzwingen Sie ein Gruppenrichtlinien-Update für die ausgewählte OU: Gehen Sie zu „Gruppenrichtlinienverwaltung“ → Rechtsklicken Sie auf die OU → Klicken Sie auf „Gruppenrichtlinien-Update“.
8. Öffnen Sie den Ereignisanzeiger → Suchen Sie in den Sicherheits-Windows-Protokollen nach der Ereignis-ID 4663 mit der Zeichenfolge "Accesses: ReadData (oder ListDirectory)" und überprüfen Sie, wer Dateien auf Ihren Dateiservern gelesen oder zu lesen versucht hat.

Netwrix Auditor for Windows-Dateiserver

1. Um Zugriffsüberwachungsereignisse zu finden, führen Sie Netwrix Auditor aus → Navigieren Sie zu „Suche“ → Klicken Sie auf „Erweiterter Modus“, falls nicht ausgewählt → Richten Sie die folgenden Filter ein:
   • Filter = „Datenquelle“
     Operator = „Gleich“
     Wert = „Dateiserver“
     
   • Filter = „Aktion“
     Operator = „Gleich“
     Wert = „Lesen“
2. Klicken Sie auf die Schaltfläche „Suchen“ und überprüfen Sie, wer Dateien auf Ihren Dateiservern gelesen oder zu lesen versucht hat.