Windows ファイルサーバーから誰がファイルを削除したかを追跡する方法
ネイティブ監査 vs. Netwrix Auditor for Windows File Servers
Netwrix Auditor for Windows File Servers
- Netwrix Auditor を実行します。「Reports」→「File Servers」→「File Servers Activity」をクリック→「Files and Folders Deleted」→「View」をクリックします。
- 「Where」フィールドにサーバー名を入力します。さらに、% をワイルドカード文字として使用して、特定のフォルダーへのパスを指定することもできます。
- レポートを確認します:
ファイルシステムの監査を設定する
- ファイル共有に移動し、右クリックして「Properties」を選択します → 「Security」タブを選択 → 「Advanced」ボタンをクリック → 「Auditing」タブへ移動 → 「Add」ボタンをクリック → 次を選択します：
- プリンシパル: "Everyone"
- 種類: "All"
- 適用対象: "このフォルダー、このサブフォルダー、およびファイル"
- 詳細なアクセス許可: "サブフォルダーとファイルの削除" および "削除"
- グループ ポリシー エディター（gpedit.msc）を実行し、新しい GPO を作成して編集します。具体的には、次の場所へ移動します → コンピューターの構成 → ポリシー → Windows の設定 → セキュリティの設定 → ローカル ポリシー → 監査ポリシー、そして次のように設定します：
- オブジェクト アクセスを監査 → 定義 → 成功および失敗。
- "Advanced Audit Policy Configuration" → Audit Policies → Object Access に移動し、次のように設定します：
- ファイル システムを監査 → 定義 → 成功および失敗
- ハンドル操作を監査 → 定義 → 成功および失敗
- 新しい GPO をリンクする して、ファイル サーバーに適用します。
- グループ ポリシーの更新を強制して変更を反映します。"Group Policy Management" に移動 → OU を右クリック → "Group Policy Update" をクリック。
イベントの確認
- イベント ビューアを開き、セキュリティ ログで、イベント ID 4656 かつタスク カテゴリが "File System" または "Removable Storage" で、文字列 "Accesses: DELETE" を含むものを検索します。
- レポートを確認します。"Subject: Security ID" フィールドには、各ファイルを削除した人物が表示されます。
詳しくはこちら：Netwrix Auditor for Windows File Servers
業務の中断を防ぐために、ファイル削除を定期的に監査する
ドメイン内のサーバー上のファイルが、悪意によって、あるいは誤って削除された場合、ユーザーは必要な重要情報にアクセスできなくなり、重要な業務プロセスが停止してしまうことがあります。さらに、適切なファイル削除の監査と アクセス許可の変更監査 がないと、ユーザーの行為に対して責任を問うことができず、これ以上の無許可の削除を防ぐこともできません。
Microsoft は、Windows ファイル サーバーでファイル削除を監査するためのネイティブな方法を提供しています。とはいえ、あらかじめ監査を有効にしておく必要があり、削除されたファイルを Windows のイベント ログから検索する作業はかなり手間がかかります。リスト内の各イベントを開き、ファイルを削除した人物名やイベント発生時刻などの詳細を確認しなければならないためです。
Netwrix Auditor を使うと、Windows ファイル サーバー、EMC ストレージ デバイス、NetApp フィラー上での悪意ある、または誤って行われたファイル削除を簡単に検出して調査できます。ほんの数ステップで、だれが／何を／どこで／いつ行ったかといった読みやすい who/what/where/when の詳細を含め、すべての変更とアクセス イベントを示すわかりやすいレポートを入手できます。さらに、レポートをスケジュールに基づいて自動的にメールで受け取ることもでき、特定の種類のアクションに関するアラートを取得してすぐに対応できます。インタラクティブ検索により、調査プロセスがシンプルになり、効率化されます。Netwrix Auditor はまた、高度な ユーザー行動モニタリング も提供し、アクセス イベントの急増や大規模なデータ削除などの異常な動きを継続的に把握できるため、侵害、データ損失、またはダウンタイムが発生する前に対処できます。
共有する