Cómo detectar quién leyó un archivo en los servidores de archivos de Windows

Auditoría Nativa

1. Navegue hasta el recurso compartido de archivos requerido → Haga clic derecho en él y seleccione "Propiedades".
2. Cambie a la pestaña "Seguridad" → Haga clic en el botón "Avanzado" → Vaya a la pestaña "Auditoría" → Haga clic en el botón "Agregar".
3. Configure los siguientes ajustes: Principal: "Todos"; Tipo: "Todos"; Aplica a: "Esta carpeta, subcarpetas y archivos"; Permisos avanzados: "Listar carpeta / leer datos" → Haga clic en "Aceptar" tres veces.
4. Inicie sesión en su controlador de dominio y ejecute gpmc.msc → Cree una nueva GPO y defina su nombre → Vaya a “Política de Computadora” → Haga clic en “Configuración de la Computadora” → Elija “Configuraciones de Windows” → Haga clic en “Configuraciones de Seguridad” y habilite las siguientes configuraciones:
   • Políticas locales → Política de auditoría → Auditoría de acceso a objetos → Definir → Éxitos y fallos
   • Configuración avanzada de políticas de auditoría → Políticas de auditoría del sistema → Acceso a objetos → Auditoría del sistema de archivos → Definir → Éxitos y fallos
   • Configuración Avanzada de Política de Auditoría → Políticas de Auditoría del Sistema → Acceso a Objetos → Auditoría de Manipulación de Identificadores → Definir → Éxitos y Fallos
5. Vaya al Event Log → Defina y especifique los siguientes ajustes:
   • Tamaño máximo del registro de seguridad: 4GB
   • Método de retención para el registro de seguridad: “Sobrescribir eventos según sea necesario”
6. Vincule la nueva GPO a una OU con servidores de archivos de la siguiente manera: Vaya a "Group Policy Management" → Haga clic derecho en la OU → Haga clic en "Link an Existing GPO" → Seleccione la GPO que creó.
7. Fuerce una actualización de la Directiva de Grupo en la OU seleccionada: Vaya a "Administración de Directivas de Grupo" → Haga clic derecho en la OU → Haga clic en "Actualización de la Directiva de Grupo".
8. Abra el Visor de Eventos → Busque en los Registros de Seguridad de Windows el evento con ID 4663 que contenga la cadena "Accesses: ReadData (or ListDirectory)" y revise quién leyó o intentó leer archivos en sus servidores de archivos.

Netwrix Auditor for Windows File Servers

1. Para encontrar eventos de auditoría de acceso, ejecute Netwrix Auditor → Vaya a “Buscar” → Haga clic en “Modo avanzado” si no está seleccionado → Configure los siguientes filtros:
   • Filtro = “Fuente de datos”
     Operador = “Igual a”
     Valor = “Servidores de archivos”
     
   • Filter = “Action”
     Operator = “Equals”
     Value = “Read”
2. Haga clic en el botón “Buscar” y revise quién leyó o intentó leer archivos en sus servidores de archivos.