Failide ja kataloogide auditeerimine: Difference between revisions
(24 intermediate revisions by the same user not shown) | |||
Line 6: | Line 6: | ||
== Failide ja kataloogide auditeerimise sisse lülitamine == | == Failide ja kataloogide auditeerimise sisse lülitamine == | ||
Kõige lihtsam moodus autiteerimise sisse lülitamiseks on kasutada | Kõige lihtsam moodus autiteerimise sisse lülitamiseks on kasutada '''Local Security Policy''' (''Kohalik turvapoliitika'') nimelist vahendit. '''Local Security Policy''' akna avamiseks: | ||
<br /> | <br /> | ||
1. | 1. vajutage '''Start''' nuppu ja (valige moodus): | ||
<br /> | |||
*sisestage otsinguväljale tekst '''Local Security Policy''' ja vajutage linki '''Local Security Policy'''; | |||
<br /> | |||
*sisestage otsinguväljale tekst '''secpol.msc''' ja vajutage linki '''secpol.msc'''. | |||
<br /><br /> | <br /><br /> | ||
[[File:Audit1.PNG]] | [[File:Audit1.PNG]] | ||
Line 18: | Line 22: | ||
4. avanenud aknas '''Audit object access Properties''' saate märgistada: | 4. avanenud aknas '''Audit object access Properties''' saate märgistada: | ||
<br /> | <br /> | ||
* '''Success''' (''Edu'') - salvestatakse kõik failide või kataloogide avamise õnnestunud katsed; | *'''Success''' (''Edu'') - salvestatakse kõik failide või kataloogide avamise õnnestunud katsed; | ||
<br /> | <br /> | ||
* '''Failure''' (''Nurjumine'') - salvestatakse kõik failide või kataloogide avamise ebaõnnestunud katsed; | *'''Failure''' (''Nurjumine'') - salvestatakse kõik failide või kataloogide avamise ebaõnnestunud katsed; | ||
<br /> | <br /> | ||
* '''Sucess''' ja '''Failure''' - salvestatakse mõlemat tüüpi katsed. | *'''Sucess''' ja '''Failure''' - salvestatakse mõlemat tüüpi katsed. | ||
<br /><br /> | <br /><br /> | ||
[[File:Audit2.PNG]] | [[File:Audit2.PNG]] | ||
<br /><br /><br/> | <br /><br /><br/> | ||
== | == Failide ja kataloogide auditeerimiseks määramine == | ||
Juurdepääsu auditi sisse lülitamisega te saate silma peal hoida enda poolt valitud failide ja kataloogidega toimuval. Te saate hea ülevaate sellest, kes on üritanud nendele objektidele ligi pääseda ning, mida ta on üritanud nendega teha ehk, kui keegi on nt mingi faili ära kustutanud, siis te saate sellest ka teada. Kuid tuleb meeles pidada, et auditeerimiseks peab partitsioon olema formateeritud NTFS failisüsteemi. | Juurdepääsu auditi sisse lülitamisega te saate silma peal hoida enda poolt valitud failide ja kataloogidega toimuval. Te saate hea ülevaate sellest, kes on üritanud nendele objektidele ligi pääseda ning, mida ta on üritanud nendega teha ehk, kui keegi on nt mingi faili ära kustutanud, siis te saate sellest ka teada. Kuid tuleb meeles pidada, et auditeerimiseks peab partitsioon olema formateeritud NTFS failisüsteemi. | ||
<br /><br /> | <br /><br /> | ||
Line 38: | Line 42: | ||
[[File:Audit3.PNG]] | [[File:Audit3.PNG]] | ||
<br /><br /> | <br /><br /> | ||
3. aknas '''Advanced Security Settings''' klõpsake vahekaardil '''Auditing''' (''Auditeerimine'') nuppu '''Continue''' (''Jätka''); | 3. aknas '''Advanced Security Settings for''' klõpsake vahekaardil '''Auditing''' (''Auditeerimine'') nuppu '''Continue''' (''Jätka''); | ||
<br /><br /> | <br /><br /> | ||
[[File:Audit4.PNG]] | [[File:Audit4.PNG]] | ||
<br /><br /> | <br /><br /> | ||
4. uues aknas '''Advanced Security Settings''' klõpsake nuppu '''Add...''' (''Lisa...'') | 4. uues aknas '''Advanced Security Settings for''' klõpsake nuppu '''Add...''' (''Lisa...'') | ||
<br /><br /> | <br /><br /> | ||
[[File:Audit5.PNG]] | [[File:Audit5.PNG]] | ||
<br /><br /> | <br /><br /> | ||
5. aknas '''Select User or Group''' (''Vali Kasutaja või Rühm'') sisesta väljale '''Enter the object name to select | 5. aknas '''Select User or Group''' (''Vali Kasutaja või Rühm'') sisesta väljale '''Enter the object name to select''' (''Sisestage valitava objekti nimi'') selle kasutaja või rühma nimi, kelle tegevusi soovite jälgida ja klõpsake nuppu '''OK'''; | ||
<br /><br /> | <br /><br /> | ||
[[File:Audit7.PNG]] | [[File:Audit7.PNG]] | ||
Line 52: | Line 56: | ||
6. aknas '''Auditing Entry for''' saate nüüd märgistada tegevuste märkeruudud, mida soovite auditeerida. Seejuures: | 6. aknas '''Auditing Entry for''' saate nüüd märgistada tegevuste märkeruudud, mida soovite auditeerida. Seejuures: | ||
<br /> | <br /> | ||
* '''Successful''' (''Edukas'') - salvestatakse kõik failide või kataloogide avamise õnnestunud katsed; | * '''Successful''' (''Edukas'') - salvestatakse kõik failide või kataloogide avamise õnnestunud katsed; | ||
<br /> | <br /> | ||
* '''Failed''' (''Nurjunud'') - salvestatakse kõik failide või kataloogide avamise ebaõnnestunud katsed; | * '''Failed''' (''Nurjunud'') - salvestatakse kõik failide või kataloogide avamise ebaõnnestunud katsed; | ||
<br /> | <br /> | ||
* '''Successful''' ja '''Failed''' - salvestatakse mõlemat tüüpi katsed. | * '''Successful''' ja '''Failed''' - salvestatakse mõlemat tüüpi katsed. | ||
<br /><br /> | <br /><br /> | ||
[[File:Audit6.PNG]] | [[File:Audit6.PNG]] | ||
Line 151: | Line 155: | ||
</table> | </table> | ||
<br/><br/><br/> | |||
== Auditeerimislogide vaatamine == | |||
Windows peab arvutis toimuvate olulisemate sündmuste kohta logifaile ehk sündmuselogisid. Osade sündmuste logimine toimub automaatselt ja kasutaja ei pea nende sisse lülitamiseks midagi tegema. Osade logimine on vaja aga kasutaja poolt sisse lülitada. Viimaste hulka kuulub ka failide ja kataloogide auditeerimine. | |||
<br/><br/> | |||
Sündmuselogide vaatamiseks on Windowsis olemas '''Event Viewer''' (''Sündmusevaatur'') nimeline vahend ja selle kaudu saab ka ligipääsu auditeerimise ajal salvestatud logidele. '''Event Viewer''' akna avamiseks: | |||
<br /> | |||
1. vajutage '''Start''' nuppu ja (valige moodus): | |||
<br /> | |||
*sisestage otsinguväljale tekst '''Event Viewer''' ja vajutage linki '''Event Viewer'''; | |||
<br /> | |||
*sisestage otsinguväljale tekst '''eventvwr.msc''' ja vajutage linki '''eventvwr.msc'''. | |||
<br /> | |||
2. aknas vasakul poolel valige '''Windows Logs''' (''Windows Logid'') alt '''Security''' (''Turvalisus''). Akna paremal poolel on nüüd näha kõik turvalisusega seotud sündmused, sealhulgas ka auditeerimislogid; | |||
<br /><br /> | |||
[[File:Audit8.PNG]] | |||
<br /><br /> | |||
3. sündmuse avamiseks ja selle üksikasjade vaatamiseks tehke sellel sündmusel topeltklõps. | |||
<br /><br /><br /> | |||
== Kasutatud materjalid == | |||
http://windows.microsoft.com/et-EE/windows7/Monitor-attempts-to-access-and-change-settings-on-your-computer | |||
<br /> | |||
http://windows.microsoft.com/en-US/windows7/Monitor-attempts-to-access-and-change-settings-on-your-computer | |||
<br /> | |||
http://windows.microsoft.com/et-EE/windows7/What-information-appears-in-event-logs-Event-Viewer | |||
<br /> | |||
William R. Stanek. Windows 7 Administrator's Pocket Consultant. Microsoft Press (2009) | |||
<br /> | |||
<br /> | |||
== Autor == | |||
Ivo Kruusamäe AK21 |
Latest revision as of 18:58, 5 November 2010
Sissejuhatus
NTFS failisüsteemis on küll võimalik erinevate faili- ja kataloogiõiguste tasemel andmetele ligipääsemist reguleerida, kuid nad ei võimalda saada ülevaadet sellest, kelle poolt ja mida on üritatud nende andmetega teha. Selleks, et saada ülevaadet, kes on saanud ligi failidele ja kataloogidele ning, kuidas ta on seda ligipääsu kasutanud, tuleb sisse lülitada auditeerimine.
Failide ja kataloogide auditeerimise sisse lülitamine
Kõige lihtsam moodus autiteerimise sisse lülitamiseks on kasutada Local Security Policy (Kohalik turvapoliitika) nimelist vahendit. Local Security Policy akna avamiseks:
1. vajutage Start nuppu ja (valige moodus):
*sisestage otsinguväljale tekst Local Security Policy ja vajutage linki Local Security Policy;
*sisestage otsinguväljale tekst secpol.msc ja vajutage linki secpol.msc.
2. akna vasakul poolel valige Local Policies (Kohalikud poliitikad) alt Audit Policy (Auditipoliitika);
3. akna paremal poolel avage Audit object access (Auditeeri objektile juurdepääsu);
4. avanenud aknas Audit object access Properties saate märgistada:
*Success (Edu) - salvestatakse kõik failide või kataloogide avamise õnnestunud katsed;
*Failure (Nurjumine) - salvestatakse kõik failide või kataloogide avamise ebaõnnestunud katsed;
*Sucess ja Failure - salvestatakse mõlemat tüüpi katsed.
Failide ja kataloogide auditeerimiseks määramine
Juurdepääsu auditi sisse lülitamisega te saate silma peal hoida enda poolt valitud failide ja kataloogidega toimuval. Te saate hea ülevaate sellest, kes on üritanud nendele objektidele ligi pääseda ning, mida ta on üritanud nendega teha ehk, kui keegi on nt mingi faili ära kustutanud, siis te saate sellest ka teada. Kuid tuleb meeles pidada, et auditeerimiseks peab partitsioon olema formateeritud NTFS failisüsteemi.
Auditeerimise alla kuuluvate failide ja kataloogide määramiseks:
1. klõpsake hiire parempoolse nupuga soovitud failil või kataloogil ja valige Properties (Atribuudid);
2. aknas klõpsake vahekaardil Security (Turvalisus) nuppu Advanced (Täpsemalt);
3. aknas Advanced Security Settings for klõpsake vahekaardil Auditing (Auditeerimine) nuppu Continue (Jätka);
4. uues aknas Advanced Security Settings for klõpsake nuppu Add... (Lisa...)
5. aknas Select User or Group (Vali Kasutaja või Rühm) sisesta väljale Enter the object name to select (Sisestage valitava objekti nimi) selle kasutaja või rühma nimi, kelle tegevusi soovite jälgida ja klõpsake nuppu OK;
6. aknas Auditing Entry for saate nüüd märgistada tegevuste märkeruudud, mida soovite auditeerida. Seejuures:
* Successful (Edukas) - salvestatakse kõik failide või kataloogide avamise õnnestunud katsed;
* Failed (Nurjunud) - salvestatakse kõik failide või kataloogide avamise ebaõnnestunud katsed;
* Successful ja Failed - salvestatakse mõlemat tüüpi katsed.
7. sulgege nupule OK vajutades kõik avatud aknad.
Failide ja kataloogide puhul auditeeritavad toimingud
Järgnevas tabelis on toodud loetelu toimingutest koos selgitustega, mida on võimalik aknas Auditing Entry for märgistada auditeerimiseks.
Toiming | Kirjeldus | |
---|---|---|
Traverse folder / execute file | Kausta läbimine / faili täitmine | Jälgib, millal keegi käivitab programmifaili |
List folder / read data | Kaustaloend / andmete lugemine | Jälgib, millal keegi vaatab failis olevaid andmeid |
Read attributes | Atribuutide lugemine | Jälgib, millal keegi vaatab sellise faili atribuute nagu kirjutuskaitstud või peidetud |
Read extended attributes | Laiendatud atribuutide lugemine | Jälgib, millal keegi vaatab faili laiendatud atribuute. Laiendatud atribuudid on määratud selle programmi poolt, mis selle faili lõi |
Create files / write data | Failide loomine / andmete kirjutamine | Jälgib, millal keegi muudab faili sisu |
Create folders / append data | Kaustade loomine / andmete täiendamine | Jälgib, millal keegi lisab faili lõppu andmeid |
Write attributes | Atribuutide kirjutamine | Jälgib, millal keegi muudab faili atribuute |
Write extended attributes | Laiendatud atribuutide kirjutamine | Jälgib, millal keegi muudab faili laiendatud atribuute |
Delete subfolders and files | Alamkaustade ja failide kustutamine | Jälgib, millal keegi kausta kustutab |
Delete | Kustutamine | Jälgib, millal keegi faili kustutab |
Read permissions | Õiguste lugemine | Jälgib, millal keegi loeb faili kasutusõigusi |
Change permissions | Õiguste muutmine | Jälgib, millal keegi muudab faili õigusi |
Take ownership | Omandiõiguse võtmine | Jälgib, millal keegi võtab faili omandiõiguse |
Auditeerimislogide vaatamine
Windows peab arvutis toimuvate olulisemate sündmuste kohta logifaile ehk sündmuselogisid. Osade sündmuste logimine toimub automaatselt ja kasutaja ei pea nende sisse lülitamiseks midagi tegema. Osade logimine on vaja aga kasutaja poolt sisse lülitada. Viimaste hulka kuulub ka failide ja kataloogide auditeerimine.
Sündmuselogide vaatamiseks on Windowsis olemas Event Viewer (Sündmusevaatur) nimeline vahend ja selle kaudu saab ka ligipääsu auditeerimise ajal salvestatud logidele. Event Viewer akna avamiseks:
1. vajutage Start nuppu ja (valige moodus):
*sisestage otsinguväljale tekst Event Viewer ja vajutage linki Event Viewer;
*sisestage otsinguväljale tekst eventvwr.msc ja vajutage linki eventvwr.msc.
2. aknas vasakul poolel valige Windows Logs (Windows Logid) alt Security (Turvalisus). Akna paremal poolel on nüüd näha kõik turvalisusega seotud sündmused, sealhulgas ka auditeerimislogid;
3. sündmuse avamiseks ja selle üksikasjade vaatamiseks tehke sellel sündmusel topeltklõps.
Kasutatud materjalid
http://windows.microsoft.com/et-EE/windows7/Monitor-attempts-to-access-and-change-settings-on-your-computer
http://windows.microsoft.com/en-US/windows7/Monitor-attempts-to-access-and-change-settings-on-your-computer
http://windows.microsoft.com/et-EE/windows7/What-information-appears-in-event-logs-Event-Viewer
William R. Stanek. Windows 7 Administrator's Pocket Consultant. Microsoft Press (2009)
Autor
Ivo Kruusamäe AK21