Comment détecter qui a lu un fichier sur les serveurs de fichiers Windows

Audit Natif

1. Accédez au partage de fichiers requis → Cliquez dessus avec le bouton droit et sélectionnez "Propriétés".
2. Passez à l'onglet "Sécurité" → Cliquez sur le bouton "Avancé" → Allez à l'onglet "Audit" → Cliquez sur le bouton "Ajouter".
3. Configurez les paramètres suivants : Principal : « Tout le monde » ; Type : « Tous » ; S'applique à : « Ce dossier, sous-dossiers et fichiers » ; Permissions avancées : « Lister le dossier / lire les données » → Cliquez trois fois sur « OK ».
4. Connectez-vous à votre contrôleur de domaine et exécutez gpmc.msc → Créez un nouveau GPO et définissez son nom → Allez dans « Stratégie Ordinateur » → Cliquez sur « Configuration de l'ordinateur » → Choisissez « Paramètres Windows » → Cliquez sur « Paramètres de sécurité » et activez les paramètres suivants :
   • Stratégies locales → Stratégie d'audit → Audit de l'accès aux objets → Définir → Réussites et échecs
   • Configuration de la stratégie d'audit avancée → Stratégies d'audit système → Accès aux objets → Audit du système de fichiers → Définir → Succès et échecs
   • Configuration de la politique d'audit avancée → Politiques d'audit système → Accès aux objets → Audit de la manipulation des identificateurs → Définir → Succès et échecs
5. Allez dans Event Log → Définissez et spécifiez les paramètres suivants :
   • Taille maximale du journal de sécurité : 4 Go
   • Méthode de conservation pour le journal de sécurité : « Écraser les événements si nécessaire »
6. Associez le nouveau GPO à une UO contenant des serveurs de fichiers comme suit : Allez dans "Gestion de stratégie de groupe" → Cliquez avec le bouton droit sur l'UO → Cliquez sur "Lier un GPO existant" → Sélectionnez le GPO que vous avez créé.
7. Forcez une mise à jour de stratégie de groupe sur l'unité d'organisation sélectionnée : Allez dans "Gestion de stratégie de groupe" → Cliquez avec le bouton droit sur l'unité d'organisation → Cliquez sur "Mise à jour de stratégie de groupe".
8. Ouvrez l'Observateur d'événements → Recherchez dans les journaux de sécurité Windows l'événement ID 4663 avec la chaîne "Accès : ReadData (ou ListDirectory)" et examinez qui a lu ou tenté de lire des fichiers sur vos serveurs de fichiers.

Netwrix Auditor for Windows File Servers

1. Pour trouver les événements d'audit d'accès, exécutez Netwrix Auditor → Allez dans « Recherche » → Cliquez sur « Mode avancé » si ce n'est pas sélectionné → Configurez les filtres suivants :
   • Filtre = “Source de données”
     Opérateur = “Égale”
     Valeur = “Serveurs de fichiers”
     
   • Filter = “Action”
     Operator = “Equals”
     Value = “Read”
2. Cliquez sur le bouton « Rechercher » et examinez qui a lu ou tenté de lire des fichiers sur vos serveurs de fichiers.