Windows ファイル サーバー向け Netwrix Auditor
- Netwrix Auditor を実行 → 「Reports」へ移動 → 「File Servers」セクションを展開 → 「File Servers Activity」へ進む → 「Permissions Changes」を選択 → 「View」をクリックします。
- レポートを保存するには、"Export" ボタンをクリックします → ドロップダウン メニューから形式を選択します → 「Save」をクリックします。
- レポートをメールで定期的に受け取るには、「Subscribe」ボタンをクリックし、希望するスケジュールを選択します。
詳しくは Netwrix Auditor for Windows File Servers
ネイティブ監査
- 必要なファイル共有に移動 → それを右クリックして「Properties」を選択 → 「Security」タブに移動 → 「Advanced」ボタンをクリック → 「Auditing」タブに移動 → 「Add」ボタンをクリック → 次の項目を選択します：
- プリンシパル: "Everyone"
- 種類: "All"
- 適用先: "このフォルダー、サブフォルダー、およびファイル"
- 詳細なアクセス許可: "サブフォルダーとファイルの削除" および "削除"
- gpedit.msc を実行 → 新しい GPO を作成して編集 → 「コンピューターの構成」へ移動 → 「ポリシー」を開く → 「Windows の設定」へ移動 → 「セキュリティの設定」を選択 → 「ローカル ポリシー」へ移動 → 「監査ポリシー」を選択 → 「オブジェクト アクセスの監査」で「成功」と「失敗」のチェックボックスを選択します。
- 「高度な監査ポリシーの構成」へ移動 → 「監査ポリシー」を選択 → 「オブジェクト アクセス」を選択 → 「監査ファイル システム」で「成功」と「失敗」のチェックボックスを選択 → 「監査ハンドル操作」で「成功」と「失敗」のチェックボックスを選択します。
- 新しい GPO をファイル サーバーにリンクし、グループ ポリシーの更新を強制します。
- Powershell ISE を開く → 次のコードで新しいスクリプトを作成し、実行します。ファイル サーバー名を指定し、必要に応じて時間枠を変更してください（86400000ms は直近 24 時間をカバーします）：
Get-WinEvent -ComputerName fs1 -LogName Security -FilterXPath "*[System[EventID=4670 and TimeCreated[timediff(@SystemTime) <= 86400000]] and EventData[Data[@Name='ObjectType']='File']]" | fl | Out-File c:\data\permission_c.txt
- スクリプトによって生成されたテキスト ファイルを開きます。
ファイル サーバーのアクセス権の変更監査を有効にして、あらゆる権限昇格を検知する
特権ユーザーは、Windows ファイルサーバー上で非常に大きな権限を持っています。たとえば、ファイルシステムまたはファイルサーバー上の機密データにアクセスするために、オブジェクトのアクセス許可を変更できる場合があります。ファイル、フォルダー、共有に対するアクセス許可の変更を Windows サーバーで監査するように有効化すると、アクセス権を監視し制御できるため、権限昇格（privilege escalation）のリスクを最小限に抑えられます。最初のステップは、変更イベントを書き込み（write）によって Security ログに記録し、オブジェクトのアクセス許可を監査することです。これは、Active Directory ドメインのグループ監査ポリシーを使用するか、Windows Server のローカルポリシーで定義されたセキュリティ設定を使用して実施できます。
イベントログでフォルダーのアクセス許可変更はどこで確認できますか？イベント ID 4670 を手動で検索することもできますし、セキュリティ アクセス制御リスト（SACLs）の変更を追跡するように設計された PowerShell スクリプトを使うこともできます。とはいえ、セキュリティ記述子定義言語（security descriptor definition language、SDDL）で記録された変更について「変更前」「変更後」の値を特定するのは簡単ではないため、追加の時間を確保しておく必要があります。もっと良い方法はありますか？
Netwrix Auditor は、Windows ファイルサーバー、EMC ストレージデバイス、NetApp filer 全体でオブジェクトのアクセス監査を可能にし、日々の業務を簡素化しながら安心感を提供します。このプラットフォームは、ファイルストレージ全体におけるすべての変更およびすべてのアクセスイベント（成功・失敗）を可視化します。各変更イベントには、誰がどのファイルのどの権限をいつ・どこで変更したのかが、読みやすい形で詳細に含まれています。これにより、いかなる被害が発生する前に権限昇格（privilege escalation）を検知できます。
共有する