![跟踪文件夹的创建/删除/移动事件并发送每日报告](https://linux22.com/image/701106/%E8%B7%9F%E8%B8%AA%E6%96%87%E4%BB%B6%E5%A4%B9%E7%9A%84%E5%88%9B%E5%BB%BA%2F%E5%88%A0%E9%99%A4%2F%E7%A7%BB%E5%8A%A8%E4%BA%8B%E4%BB%B6%E5%B9%B6%E5%8F%91%E9%80%81%E6%AF%8F%E6%97%A5%E6%8A%A5%E5%91%8A.png)
我想跟踪某个文件服务器上文件和文件夹的创建/删除/移动等事件。这应该只基于某些文件夹(跟踪文件夹 x,不跟踪其他内容)。这是一个 Windows Server 环境。
以下是我目前所做的:
- 开启高级审计策略 - 审计文件系统 - 成功。
- 启用对相关文件夹的审核
它确实有效,但你面对的是大量无休止的日志条目,其中大多数都是无用的。我甚至将安全日志过滤为仅包含某些事件 ID(4656、4659、4660、4663)的日志,但仍然一团糟。对于某些 ID(如 4663),你还需要知道触发了哪个访问掩码才能理解它。
我需要的是每日生成管理摘要最好是 HTML 格式。应该能够看到创建/删除或移动了哪些文件和文件夹,而看不到其他内容。
看来这正是我所寻找的 -->关联。不幸的是,脚本开始运行后就永远挂起了。无法让它在 Server 2008 R2 上运行,而且我的 Powershell 技能太弱,无法调试它。我想要监控的文件夹包含 <80.000 个文件和 <10.000 个文件夹。
我有什么选择?你会选择审计策略路线吗?还是有更好的选择?如果我能让它与标准工具一起工作就好了。我如何汇总和过滤日志以生成清晰且人性化的输出?
总结
寻找一个穷人的 SIEM 来生成谁创建/删除/移动了特定文件共享的文件和文件夹的每日报告。
编辑
整理了一些内容并让脚本运行起来。它很慢(检查约 100,000 行日志大约需要 20 分钟),但可以正常工作。所以我暂时使用它。如果有人有更快或更优雅的解决方案,我很想听听。
答案1
您走在正确的轨道上,您需要阅读服务器的安全日志以获取您要查找的事件。获取“计数”或阅读 xml 以进一步挖掘的最佳描述详述如下“https://blogs.technet.microsoft.com/heyscriptingguy/2014/06/04/data-mine-the-windows-event-log-by-using-powershell-and-xml/“
答案2
如果您不是 PowerShell 专家(我也不),那么您可能不太可能在不投入大量时间的情况下使用 PS 脚本获得所需的报告。需要进行大量调整(并首先进行调试以使其工作),才能使其看起来像您想要的那样,然后将其设置为发送电子邮件等。
您最好投资少量资金购买一款可以帮助您实现此目的的软件产品。您提到了“穷人的 SIEM”,请记住并非所有 SIEM 产品都很昂贵。
事件哨兵例如,单个服务器的起价为 85 美元(听起来这就是您所需要的),并且有一个文件访问跟踪组件,可以满足您的需求。它确实依赖于您服务器上已经设置的审计(您已经了解了),但随后会为您提供非常有用的报告 - 以下是一个例子。
使用第三方工具的另一个好处是,您可以轻松安排它,以便通过电子邮件获取它,并且大多数工具也支持多种输出格式,如 PDF。