![Windws Server 2012 R2 事件日志/审计已删除文件/仅显示最后几分钟](https://linux22.com/image/684021/Windws%20Server%202012%20R2%20%E4%BA%8B%E4%BB%B6%E6%97%A5%E5%BF%97%2F%E5%AE%A1%E8%AE%A1%E5%B7%B2%E5%88%A0%E9%99%A4%E6%96%87%E4%BB%B6%2F%E4%BB%85%E6%98%BE%E7%A4%BA%E6%9C%80%E5%90%8E%E5%87%A0%E5%88%86%E9%92%9F.png)
我的目标:我想找出是谁删除了网络共享上的文件。用户有时会抱怨文件丢失,通常都是其他人的错。
我已为该网络共享启用了文件审核。如果我转到事件查看器查看审核事件,我会看到大量的事件,有时同一秒内来自同一用户的事件超过 100 个,只有“ReadAttributes”或“ReadData(或 ListDirectory)”。(我假设是搜索索引或类似内容)
我如何才能禁用记录这些事件的权限,以免它们充斥我的事件日志?
我的解决方法是使用以下方法创建 XML 过滤器
<QueryList>
<Query Id="0" Path="Security">
<Select Path="Security">
*
</Select>
<Suppress Path="Security">
*[EventData[Data[@Name='AccessMask'] and (Data='0x80' or Data='0x1' or Data='0x81' or Data='0x20080' or Data='0x20089')]]
</Suppress>
</Query>
</QueryList>
仅显示重要的记录更改和删除等事件。安全日志中始终有 28-29k 个事件。
也许是因为这种泛滥,我只能看到最近几分钟的日志,而看不到 1 小时前或更长时间的日志。如果我使用 XML 过滤器,也是如此。例如,如果我运行
<QueryList>
<Query Id="0" Path="Security">
<Select Path="Security">
*[EventData[Data[@Name='AccessMask'] and (Data='0x10000')]]
</Select>
</Query>
</QueryList>
要显示文件删除,我只能看到过去五分钟内删除的文件。如果我查看十分钟后的文件,我会看到完全不同的输出,不再显示 15 分钟前删除的文件。
日志中的事件数量是否有上限?如果达到上限,较旧的事件会被删除吗?存档?我在哪里可以找到一天前的日志?
总而言之,这使得审计日志变得毫无意义,因为通常几天后(如果不是几周)一些用户才会发现重要文件已被删除。有什么建议吗?
答案1
减少噪音的最佳方法是更改您在文件共享上启用的审核设置。
我怀疑当您启用审核时,您选中了所有类型的访问框,包括“读取”访问。这必然会淹没事件日志,因为 Windows 会为对文件和/或目录的每次读取访问记录 4663 事件。
我建议您检查一下审计设置,只启用写入活动(例如 WriteData 等)的审计。这应该会大大减少噪音。
或者,您也可以增加安全事件日志的大小。您可以在 Windows 事件查看器中右键单击日志来执行此操作。如果大小由组策略控制,那么您必须编辑相应的组策略。
噢,这些事件日志过滤器做得很好!