ファイルまたはフォルダーの所有者を誰が変更したか検出する方法

Netwrix Auditor for Windows File Servers

1. Netwrix Auditor を実行 → “Search”へ移動 → 選択されていない場合は“Advanced mode”をクリック → 次のフィルターを設定します:
   • フィルター = “Data source”
     演算子 = “Equals”
     値 = “File Servers”
   • フィルター = “Details”
     演算子 = “Contains”
     値 = “Owner changed"
2. “Search”ボタンをクリックし、ファイルまたはフォルダーの所有者を変更したのが誰かを確認します。

ファイルまたはフォルダーの所有者変更に対してアラートを作成するには：

1. 検索結果から「Tools」へ移動 →「Create alert」をクリック → 新しいアラートの名前を指定します。
2. 「Recipients」タブに切り替え →「Add Recipient」をクリック → アラートを配信したいメールアドレスを指定します。
3. アラートを保存するには「Add」をクリックします。

ネイティブ監査

1. 必要なファイル共有に移動 → それを右クリックして「Properties」を選択 →「Security」タブに切り替え →「Advanced」ボタンをクリック →「Auditing」タブに移動 →「Add」ボタンをクリック → Principal：「Everyone」を選択；Type：「All」を選択；Applies to：「This folder, subfolders and files」を選択；次の「Advanced Permissions」：「Change permissions and 「Take ownership」」を選択します。
2. gpmc.msc を実行 → "Default Domain Policy" を編集 → コンピューターの構成 → ポリシー → Windows の設定 → セキュリティの設定。
3. ローカル ポリシー → 監査ポリシーへ進みます：
   • オブジェクト アクセスの監査 → 定義 → 成功と失敗
4. "高度な監査ポリシーの構成" → 監査ポリシー → オブジェクト アクセス：
   • ファイル システムの監査 → 定義 → 成功と失敗
   • 監査ハンドルの操作（Audit Handle Manipulation）→ 定義 → 成功と失敗
5. イベント ログに移動 → 定義：
   • セキュリティ ログの最大サイズを 1 GB に設定
   • セキュリティ ログの保持方法を「必要に応じてイベントを上書きする」に設定
6. イベント ビューアーを開く → 「セキュリティ」の Windows ログで、タスク カテゴリが「File Server」または「Removable Storage」で、文字列「Accesses: WRITE_OWNER」が含まれるイベント ID 4663 を検索します。 「Subject Security ID」には、ファイルまたはフォルダーの所有者を変更した人物が表示されます。
   

詳しくは Netwrix Auditor for Windows File Servers

ファイル／フォルダーの所有権の変更を素早く検出して、データ侵害のリスクを軽減します

ファイル共有上のすべてのオブジェクトには所有者がいます。ファイルの所有者は、そのオブジェクトに permissions を持つ相手を制御します。完全なアクセス権限は、ユーザーがファイルを読み取り、コピーし、削除し、別の場所へ移動できるようにするため、特に重要です。そのため、ファイルの所有者が変更されると、機密データの紛失や漏えいにつながり得る不正アクセスのリスクが高まります。IT 管理者は、データ侵害およびコンプライアンス違反のリスクを軽減するために、ファイル所有者へのあらゆる変更を継続的に監視し、不適切な変更を検知する必要があります。

Netwrix Auditor for Windows File Serversは、Windows ファイルサーバー上で何が起きているかを完全に可視化し、ファイル所有者の変更を含む、ファイルやフォルダーに対して行われたすべての変更について、実行可能な監査データを提供します。このアプリケーションは、各変更の現在値と過去値も示します。これらの値により、どのファイルの所有者が変更されたのか、所有者の旧名と新名、変更が行われた日時と場所、そして——最も重要な点として——誰がファイル所有者を変更したのかを、すばやく特定できます。