Failide ja kataloogide auditeerimine

From EIK wiki

Sissejuhatus

NTFS failisüsteemis on küll võimalik erinevate faili- ja kataloogiõiguste tasemel andmetele ligipääsemist reguleerida, kuid nad ei võimalda saada ülevaadet sellest, kelle poolt ja mida on üritatud nende andmetega teha. Selleks, et saada ülevaadet, kes on saanud ligi failidele ja kataloogidele ning, kuidas ta on seda ligipääsu kasutanud, tuleb sisse lülitada auditeerimine.


Failide ja kataloogide auditeerimise sisse lülitamine

Kõige lihtsam moodus autiteerimise sisse lülitamiseks on kasutada Local Security Policy (Kohalik turvapoliitika) nimelist vahendit. Local Security Policy akna avamiseks:
1. vajutage Start nuppu ja (valige moodus):
   *sisestage otsinguväljale tekst Local Security Policy ja vajutage linki Local Security Policy;
   *sisestage otsinguväljale tekst secpol.msc ja vajutage linki secpol.msc.

Audit1.PNG

2. akna vasakul poolel valige Local Policies (Kohalikud poliitikad) alt Audit Policy (Auditipoliitika);
3. akna paremal poolel avage Audit object access (Auditeeri objektile juurdepääsu);
4. avanenud aknas Audit object access Properties saate märgistada:
   *Success (Edu) - salvestatakse kõik failide või kataloogide avamise õnnestunud katsed;
   *Failure (Nurjumine) - salvestatakse kõik failide või kataloogide avamise ebaõnnestunud katsed;
   *Sucess ja Failure - salvestatakse mõlemat tüüpi katsed.

Audit2.PNG


Failide ja kataloogide auditeerimiseks määramine

Juurdepääsu auditi sisse lülitamisega te saate silma peal hoida enda poolt valitud failide ja kataloogidega toimuval. Te saate hea ülevaate sellest, kes on üritanud nendele objektidele ligi pääseda ning, mida ta on üritanud nendega teha ehk, kui keegi on nt mingi faili ära kustutanud, siis te saate sellest ka teada. Kuid tuleb meeles pidada, et auditeerimiseks peab partitsioon olema formateeritud NTFS failisüsteemi.

Auditeerimise alla kuuluvate failide ja kataloogide määramiseks:
1. klõpsake hiire parempoolse nupuga soovitud failil või kataloogil ja valige Properties (Atribuudid);
2. aknas klõpsake vahekaardil Security (Turvalisus) nuppu Advanced (Täpsemalt);

Audit3.PNG

3. aknas Advanced Security Settings for klõpsake vahekaardil Auditing (Auditeerimine) nuppu Continue (Jätka);

Audit4.PNG

4. uues aknas Advanced Security Settings for klõpsake nuppu Add... (Lisa...)

Audit5.PNG

5. aknas Select User or Group (Vali Kasutaja või Rühm) sisesta väljale Enter the object name to select (Sisestage valitava objekti nimi) selle kasutaja või rühma nimi, kelle tegevusi soovite jälgida ja klõpsake nuppu OK;

Audit7.PNG

6. aknas Auditing Entry for saate nüüd märgistada tegevuste märkeruudud, mida soovite auditeerida. Seejuures:
   * Successful (Edukas) - salvestatakse kõik failide või kataloogide avamise õnnestunud katsed;
   * Failed (Nurjunud) - salvestatakse kõik failide või kataloogide avamise ebaõnnestunud katsed;
   * Successful ja Failed - salvestatakse mõlemat tüüpi katsed.

Audit6.PNG

7. sulgege nupule OK vajutades kõik avatud aknad.


Failide ja kataloogide puhul auditeeritavad toimingud

Järgnevas tabelis on toodud loetelu toimingutest koos selgitustega, mida on võimalik aknas Auditing Entry for märgistada auditeerimiseks.

Toiming Kirjeldus
Traverse folder / execute file Kausta läbimine / faili täitmine Jälgib, millal keegi käivitab programmifaili
List folder / read data Kaustaloend / andmete lugemine Jälgib, millal keegi vaatab failis olevaid andmeid
Read attributes Atribuutide lugemine Jälgib, millal keegi vaatab sellise faili atribuute nagu kirjutuskaitstud või peidetud
Read extended attributes Laiendatud atribuutide lugemine Jälgib, millal keegi vaatab faili laiendatud atribuute. Laiendatud atribuudid on määratud selle programmi poolt, mis selle faili lõi
Create files / write data Failide loomine / andmete kirjutamine Jälgib, millal keegi muudab faili sisu
Create folders / append data Kaustade loomine / andmete täiendamine Jälgib, millal keegi lisab faili lõppu andmeid
Write attributes Atribuutide kirjutamine Jälgib, millal keegi muudab faili atribuute
Write extended attributes Laiendatud atribuutide kirjutamine Jälgib, millal keegi muudab faili laiendatud atribuute
Delete subfolders and files Alamkaustade ja failide kustutamine Jälgib, millal keegi kausta kustutab
Delete Kustutamine Jälgib, millal keegi faili kustutab
Read permissions Õiguste lugemine Jälgib, millal keegi loeb faili kasutusõigusi
Change permissions Õiguste muutmine Jälgib, millal keegi muudab faili õigusi
Take ownership Omandiõiguse võtmine Jälgib, millal keegi võtab faili omandiõiguse




Auditeerimislogide vaatamine

Windows peab arvutis toimuvate olulisemate sündmuste kohta logifaile ehk sündmuselogisid. Osade sündmuste logimine toimub automaatselt ja kasutaja ei pea nende sisse lülitamiseks midagi tegema. Osade logimine on vaja aga kasutaja poolt sisse lülitada. Viimaste hulka kuulub ka failide ja kataloogide auditeerimine.

Sündmuselogide vaatamiseks on Windowsis olemas Event Viewer (Sündmusevaatur) nimeline vahend ja selle kaudu saab ka ligipääsu auditeerimise ajal salvestatud logidele. Event Viewer akna avamiseks:
1. vajutage Start nuppu ja (valige moodus):
   *sisestage otsinguväljale tekst Event Viewer ja vajutage linki Event Viewer;
   *sisestage otsinguväljale tekst eventvwr.msc ja vajutage linki eventvwr.msc.
2. aknas vasakul poolel valige Windows Logs (Windows Logid) alt Security (Turvalisus). Akna paremal poolel on nüüd näha kõik turvalisusega seotud sündmused, sealhulgas ka auditeerimislogid;

Audit8.PNG

3. sündmuse avamiseks ja selle üksikasjade vaatamiseks tehke sellel sündmusel topeltklõps.


Kasutatud materjalid

http://windows.microsoft.com/et-EE/windows7/Monitor-attempts-to-access-and-change-settings-on-your-computer
http://windows.microsoft.com/en-US/windows7/Monitor-attempts-to-access-and-change-settings-on-your-computer
http://windows.microsoft.com/et-EE/windows7/What-information-appears-in-event-logs-Event-Viewer
William R. Stanek. Windows 7 Administrator's Pocket Consultant. Microsoft Press (2009)

Autor

Ivo Kruusamäe AK21