Comment trouver les modifications de permissions sur les serveurs de fichiers

Netwrix Auditor pour Serveurs de Fichiers Windows

• Exécutez Netwrix Auditor → Allez dans « Rapports » → Développez la section « Serveurs de fichiers » → Accédez à « Activité des serveurs de fichiers » → Sélectionnez « Modifications des autorisations » → Cliquez sur « Afficher ».

• Pour enregistrer le rapport, cliquez sur le bouton « Exporter » → Choisissez un format dans le menu déroulant → Cliquez sur « Enregistrer ».
• Pour recevoir le rapport régulièrement par e-mail, cliquez sur le bouton « S'abonner » et choisissez le calendrier que vous préférez.

En savoir plus sur Netwrix Auditor pour Serveurs de Fichiers Windows

Audit Natif

• Accédez au partage de fichiers requis → Cliquez droit et sélectionnez "Propriétés" → Allez à l'onglet "Sécurité" → Cliquez sur le bouton "Avancé" → Rendez-vous à l'onglet "Audit" → Cliquez sur le bouton "Ajouter" → Sélectionnez ce qui suit :
  • Principal : « Tout le monde »
  • Type : "Tous"
  • S'applique à : "Ce dossier, sous-dossiers et fichiers"
  • Permissions avancées : "Supprimer des sous-dossiers et des fichiers" et "Supprimer"
• Exécutez gpedit.msc → Créez et éditez un nouveau GPO → Allez dans « Configuration de l'ordinateur » → Ouvrez « Stratégies » → Naviguez jusqu'à « Paramètres Windows » → Sélectionnez « Paramètres de sécurité » → Allez dans « Stratégies locales » → Sélectionnez « Stratégie d'audit » → Sous « Audit de l'accès aux objets », cochez les cases « Réussite » et « Échec ».
• Allez dans « Configuration de la politique d'audit avancée » → Sélectionnez « Politiques d'audit » → Choisissez « Accès aux objets » → Sous « Audit du système de fichiers », cochez les cases « Succès » et « Échec » → Sous « Manipulation des handles d'audit », cochez les cases « Succès » et « Échec ».
• Associez le nouveau GPO à votre serveur de fichiers et forcez la mise à jour de la stratégie de groupe.
• Ouvrez l'ISE Powershell → Créez un nouveau script avec le code suivant et exécutez-le, en spécifiant le nom de votre serveur de fichiers et en modifiant la période si nécessaire (86400000ms couvre les dernières 24 heures) :

      Get-WinEvent -ComputerName fs1 -LogName Security -FilterXPath "*[System[EventID=4670 and TimeCreated[timediff(@SystemTime) <= 86400000]] and EventData[Data[@Name='ObjectType']='File']]"  | fl | Out-File c:\data\permission_c.txt  
      

• Ouvrez le fichier texte produit par le script.

Activez l'audit des modifications des permissions du serveur de fichiers pour détecter toute escalade de privilèges

Les utilisateurs privilégiés disposent d'un pouvoir considérable sur vos serveurs de fichiers Windows. Par exemple, ils peuvent modifier les permissions d'accès aux objets afin d'obtenir l'accès aux données sensibles de votre système de fichiers ou serveurs de fichiers. En activant l'audit de serveur Windows des modifications de permissions pour les fichiers, dossiers et partages, vous pouvez surveiller et contrôler les droits d'accès, réduisant ainsi le risque d'escalade de privilèges. La première étape consiste à auditer les permissions d'accès aux objets en inscrivant les événements de modification dans le journal de Sécurité, soit avec la politique d'audit de groupe de domaine Active Directory, soit avec les paramètres de sécurité définis dans les politiques locales sur Windows Server.

Où pouvez-vous trouver les modifications des autorisations de dossier dans le journal des événements ? Vous pouvez soit rechercher manuellement l'ID d'événement 4670, soit utiliser des scripts PowerShell conçus pour suivre les modifications des listes de contrôle d'accès de sécurité (SACLs). Cependant, assurez-vous d'avoir du temps supplémentaire à disposition, car identifier les valeurs avant et après pour un changement écrit dans le langage de définition de descripteur de sécurité (SDDL) n'est pas une tâche facile. Existe-t-il une meilleure méthode ?

Netwrix Auditor permet l'audit d'accès aux objets sur vos serveurs de fichiers Windows, dispositifs de stockage EMC et NetApp filers, simplifiant votre vie tout en vous apportant la tranquillité d'esprit. La plateforme offre une visibilité sur tous les changements et tous les événements d'accès (réussis et échoués) à travers vos stockages de fichiers. Chaque événement de changement comprend des détails faciles à lire sur qui a modifié quelles permissions sur quels fichiers, ainsi que quand et où cela s'est produit, afin que vous puissiez détecter l'escalade de privilèges avant que des dommages ne soient causés.