我现在有一台文件服务器,请问下我能不能对文件服务器进行审核,希望能够审核哪些用户删除了文件,或是做了哪些操作。这个应该怎么实现。审核的信息能不能方便的进行查看。具体该怎么实现呢?谢谢!
回答:理论上,开启Windows security审核,然后设置相应的文件件对象访问的审核后,可以在事件日志中查看Event 560可以看到谁删除了什么文件等。
详细的步骤,您可以参考下面的2篇文章:
Windows Svr Std 2003 ZH,How to audit File share ?http://blogs.technet.com/b/csstwplatform/archive/2011/05/19/windows-svr-std-2003-zh-how-to-audit-file-share.aspx
Configuring Audit Policies
http://technet.microsoft.com/zh-cn/library/dd277403(en-us).aspx
下面有一个第三方的工具MonitorWare可以更好的过滤这类事件,供您参考:
How to audit File / Directory delete Operations on a Windows System using security auditing.
http://www.monitorware.com/common/en/articles/audit_file_deletion.php
注释:这个第三方的连接仅仅提供给您作为一个参考,微软不能保证其能容的正确性。谢谢您的理解。
Micle Fang