Failide ja kataloogide auditeerimine: Difference between revisions
Line 159: | Line 159: | ||
Sündmuselogide vaatamiseks on Windowsis olemas '''Event Viewer''' (''Sündmusevaatur'') nimeline vahend ja selle kaudu saab ka ligipääsu auditeerimise ajal salvestatud logidele. Selleks: | Sündmuselogide vaatamiseks on Windowsis olemas '''Event Viewer''' (''Sündmusevaatur'') nimeline vahend ja selle kaudu saab ka ligipääsu auditeerimise ajal salvestatud logidele. Selleks: | ||
<br /> | <br /> | ||
1. | 1. vajutage '''Start''' nuppu ja (valige moodus): | ||
<br /> | <br /> | ||
* | *sisestage otsinguväljale tekst '''Event Viewer''' ja vajutage linki '''Event Viewer'''; | ||
<br /> | <br /> | ||
* | *sisestage otsinguväljale tekst '''eventvwr.msc''' ja vajutage linki '''eventvwr.msc'''. | ||
<br /> | <br /> | ||
2. aknas '''Event Viewer''' | 2. aknas '''Event Viewer''' vasakul poolel valige '''Windows Logs''' alt '''Security'''; | ||
3. akna | |||
3. akna paremal poolel Turvalisusega seotud sündmused | |||
akna vasakul poolel valige Local Policies (Kohalikud poliitikad) alt Audit Policy (Auditipoliitika); | |||
3. akna paremal poolel avage Audit object access (Auditeeri objektile juurdepääsu); | |||
Revision as of 04:35, 5 November 2010
Sissejuhatus
NTFS failisüsteemis on küll võimalik erinevate faili- ja kataloogiõiguste tasemel andmetele ligipääsemist reguleerida, kuid nad ei võimalda saada ülevaadet sellest, kelle poolt ja mida on üritatud nende andmetega teha. Selleks, et saada ülevaadet, kes on saanud ligi failidele ja kataloogidele ning, kuidas ta on seda ligipääsu kasutanud, tuleb sisse lülitada auditeerimine.
Failide ja kataloogide auditeerimise sisse lülitamine
Kõige lihtsam moodus autiteerimise sisse lülitamiseks on kasutada kausta Local Security Policy (Kohalik turvapoliitika). Selleks:
1. vajuta Start nuppu, sisesta otsinguväljale tekst secpol.msc ja vajuta linki secpol, mille tulemusena avaneb aken Local Security Policy;
2. akna vasakul poolel valige Local Policies (Kohalikud poliitikad) alt Audit Policy (Auditipoliitika);
3. akna paremal poolel avage Audit object access (Auditeeri objektile juurdepääsu);
4. avanenud aknas Audit object access Properties saate märgistada:
* Success (Edu) - salvestatakse kõik failide või kataloogide avamise õnnestunud katsed;
* Failure (Nurjumine) - salvestatakse kõik failide või kataloogide avamise ebaõnnestunud katsed;
* Sucess ja Failure - salvestatakse mõlemat tüüpi katsed.
Failide ja kataloogide auditeerimiseks määramine
Juurdepääsu auditi sisse lülitamisega te saate silma peal hoida enda poolt valitud failide ja kataloogidega toimuval. Te saate hea ülevaate sellest, kes on üritanud nendele objektidele ligi pääseda ning, mida ta on üritanud nendega teha ehk, kui keegi on nt mingi faili ära kustutanud, siis te saate sellest ka teada. Kuid tuleb meeles pidada, et auditeerimiseks peab partitsioon olema formateeritud NTFS failisüsteemi.
Auditeerimise alla kuuluvate failide ja kataloogide määramiseks:
1. klõpsake hiire parempoolse nupuga soovitud failil või kataloogil ja valige Properties (Atribuudid);
2. aknas klõpsake vahekaardil Security (Turvalisus) nuppu Advanced (Täpsemalt);
3. aknas Advanced Security Settings klõpsake vahekaardil Auditing (Auditeerimine) nuppu Continue (Jätka);
4. uues aknas Advanced Security Settings klõpsake nuppu Add... (Lisa...)
5. aknas Select User or Group (Vali Kasutaja või Rühm) sisesta väljale Enter the object name to select: (Sisestage valitava objekti nimi) selle kasutaja või rühma nimi, kelle tegevusi soovite jälgida ja klõpsake nuppu OK;
6. aknas Auditing Entry for saate nüüd märgistada tegevuste märkeruudud, mida soovite auditeerida. Seejuures:
* Successful (Edukas) - salvestatakse kõik failide või kataloogide avamise õnnestunud katsed;
* Failed (Nurjunud) - salvestatakse kõik failide või kataloogide avamise ebaõnnestunud katsed;
* Successful ja Failed - salvestatakse mõlemat tüüpi katsed.
7. sulgege nupule OK vajutades kõik avatud aknad.
Failide ja kataloogide puhul auditeeritavad toimingud
Järgnevas tabelis on toodud loetelu toimingutest koos selgitustega, mida on võimalik aknas Auditing Entry for märgistada auditeerimiseks.
Toiming | Kirjeldus | |
---|---|---|
Traverse folder / execute file | Kausta läbimine / faili täitmine | Jälgib, millal keegi käivitab programmifaili |
List folder / read data | Kaustaloend / andmete lugemine | Jälgib, millal keegi vaatab failis olevaid andmeid |
Read attributes | Atribuutide lugemine | Jälgib, millal keegi vaatab sellise faili atribuute nagu kirjutuskaitstud või peidetud |
Read extended attributes | Laiendatud atribuutide lugemine | Jälgib, millal keegi vaatab faili laiendatud atribuute. Laiendatud atribuudid on määratud selle programmi poolt, mis selle faili lõi |
Create files / write data | Failide loomine / andmete kirjutamine | Jälgib, millal keegi muudab faili sisu |
Create folders / append data | Kaustade loomine / andmete täiendamine | Jälgib, millal keegi lisab faili lõppu andmeid |
Write attributes | Atribuutide kirjutamine | Jälgib, millal keegi muudab faili atribuute |
Write extended attributes | Laiendatud atribuutide kirjutamine | Jälgib, millal keegi muudab faili laiendatud atribuute |
Delete subfolders and files | Alamkaustade ja failide kustutamine | Jälgib, millal keegi kausta kustutab |
Delete | Kustutamine | Jälgib, millal keegi faili kustutab |
Read permissions | Õiguste lugemine | Jälgib, millal keegi loeb faili kasutusõigusi |
Change permissions | Õiguste muutmine | Jälgib, millal keegi muudab faili õigusi |
Take ownership | Omandiõiguse võtmine | Jälgib, millal keegi võtab faili omandiõiguse |
Auditeerimislogide vaatamine
Windows peab arvutis toimuvate olulisemate sündmuste kohta logifaile ehk sündmuselogisid. Osade sündmuste logimine toimub automaatselt ja kasutaja ei pea nende sisse lülitamiseks midagi tegema. Osade logimine on vaja aga kasutaja poolt sisse lülitada. Viimaste hulka kuulub ka failide ja kataloogide auditeerimine.
Sündmuselogide vaatamiseks on Windowsis olemas Event Viewer (Sündmusevaatur) nimeline vahend ja selle kaudu saab ka ligipääsu auditeerimise ajal salvestatud logidele. Selleks:
1. vajutage Start nuppu ja (valige moodus):
*sisestage otsinguväljale tekst Event Viewer ja vajutage linki Event Viewer;
*sisestage otsinguväljale tekst eventvwr.msc ja vajutage linki eventvwr.msc.
2. aknas Event Viewer vasakul poolel valige Windows Logs alt Security;
3. akna
3. akna paremal poolel Turvalisusega seotud sündmused
akna vasakul poolel valige Local Policies (Kohalikud poliitikad) alt Audit Policy (Auditipoliitika);
3. akna paremal poolel avage Audit object access (Auditeeri objektile juurdepääsu);