Failide ja kataloogide auditeerimine

Sissejuhatus

NTFS failisüsteemis on küll võimalik erinevate faili- ja kataloogiõiguste tasemel andmetele ligipääsemist reguleerida, kuid nad ei võimalda saada ülevaadet sellest, kelle poolt ja mida on üritatud nende andmetega teha. Selleks, et saada ülevaadet, kes on saanud ligi failidele ja kataloogidele ning, kuidas ta on seda ligipääsu kasutanud, tuleb sisse lülitada auditeerimine.

Failide ja kataloogide auditeerimise sisse lülitamine

Kõige lihtsam moodus autiteerimise sisse lülitamiseks on kasutada Local Security Policy (Kohalik turvapoliitika) nimelist vahendit. Local Security Policy akna avamiseks:
1. vajutage Start nuppu ja (valige moodus):
   *sisestage otsinguväljale tekst Local Security Policy ja vajutage linki Local Security Policy;
   *sisestage otsinguväljale tekst secpol.msc ja vajutage linki secpol.msc.



2. akna vasakul poolel valige Local Policies (Kohalikud poliitikad) alt Audit Policy (Auditipoliitika);
3. akna paremal poolel avage Audit object access (Auditeeri objektile juurdepääsu);
4. avanenud aknas Audit object access Properties saate märgistada:
   *Success (Edu) - salvestatakse kõik failide või kataloogide avamise õnnestunud katsed;
   *Failure (Nurjumine) - salvestatakse kõik failide või kataloogide avamise ebaõnnestunud katsed;
   *Sucess ja Failure - salvestatakse mõlemat tüüpi katsed.

Failide ja kataloogide auditeerimiseks määramine

Juurdepääsu auditi sisse lülitamisega te saate silma peal hoida enda poolt valitud failide ja kataloogidega toimuval. Te saate hea ülevaate sellest, kes on üritanud nendele objektidele ligi pääseda ning, mida ta on üritanud nendega teha ehk, kui keegi on nt mingi faili ära kustutanud, siis te saate sellest ka teada. Kuid tuleb meeles pidada, et auditeerimiseks peab partitsioon olema formateeritud NTFS failisüsteemi.

Auditeerimise alla kuuluvate failide ja kataloogide määramiseks:
1. klõpsake hiire parempoolse nupuga soovitud failil või kataloogil ja valige Properties (Atribuudid);
2. aknas klõpsake vahekaardil Security (Turvalisus) nuppu Advanced (Täpsemalt);



3. aknas Advanced Security Settings klõpsake vahekaardil Auditing (Auditeerimine) nuppu Continue (Jätka);



4. uues aknas Advanced Security Settings klõpsake nuppu Add... (Lisa...)



5. aknas Select User or Group (Vali Kasutaja või Rühm) sisesta väljale Enter the object name to select: (Sisestage valitava objekti nimi) selle kasutaja või rühma nimi, kelle tegevusi soovite jälgida ja klõpsake nuppu OK;



6. aknas Auditing Entry for saate nüüd märgistada tegevuste märkeruudud, mida soovite auditeerida. Seejuures:
   * Successful (Edukas) - salvestatakse kõik failide või kataloogide avamise õnnestunud katsed;
   * Failed (Nurjunud) - salvestatakse kõik failide või kataloogide avamise ebaõnnestunud katsed;
   * Successful ja Failed - salvestatakse mõlemat tüüpi katsed.



7. sulgege nupule OK vajutades kõik avatud aknad.

Failide ja kataloogide puhul auditeeritavad toimingud

Järgnevas tabelis on toodud loetelu toimingutest koos selgitustega, mida on võimalik aknas Auditing Entry for märgistada auditeerimiseks.

Toiming		Kirjeldus
Traverse folder / execute file	Kausta läbimine / faili täitmine	Jälgib, millal keegi käivitab programmifaili
List folder / read data	Kaustaloend / andmete lugemine	Jälgib, millal keegi vaatab failis olevaid andmeid
Read attributes	Atribuutide lugemine	Jälgib, millal keegi vaatab sellise faili atribuute nagu kirjutuskaitstud või peidetud
Read extended attributes	Laiendatud atribuutide lugemine	Jälgib, millal keegi vaatab faili laiendatud atribuute. Laiendatud atribuudid on määratud selle programmi poolt, mis selle faili lõi
Create files / write data	Failide loomine / andmete kirjutamine	Jälgib, millal keegi muudab faili sisu
Create folders / append data	Kaustade loomine / andmete täiendamine	Jälgib, millal keegi lisab faili lõppu andmeid
Write attributes	Atribuutide kirjutamine	Jälgib, millal keegi muudab faili atribuute
Write extended attributes	Laiendatud atribuutide kirjutamine	Jälgib, millal keegi muudab faili laiendatud atribuute
Delete subfolders and files	Alamkaustade ja failide kustutamine	Jälgib, millal keegi kausta kustutab
Delete	Kustutamine	Jälgib, millal keegi faili kustutab
Read permissions	Õiguste lugemine	Jälgib, millal keegi loeb faili kasutusõigusi
Change permissions	Õiguste muutmine	Jälgib, millal keegi muudab faili õigusi
Take ownership	Omandiõiguse võtmine	Jälgib, millal keegi võtab faili omandiõiguse

Auditeerimislogide vaatamine

Windows peab arvutis toimuvate olulisemate sündmuste kohta logifaile ehk sündmuselogisid. Osade sündmuste logimine toimub automaatselt ja kasutaja ei pea nende sisse lülitamiseks midagi tegema. Osade logimine on vaja aga kasutaja poolt sisse lülitada. Viimaste hulka kuulub ka failide ja kataloogide auditeerimine.

Sündmuselogide vaatamiseks on Windowsis olemas Event Viewer (Sündmusevaatur) nimeline vahend ja selle kaudu saab ka ligipääsu auditeerimise ajal salvestatud logidele. Event Viewer akna avamiseks:
1. vajutage Start nuppu ja (valige moodus):
   *sisestage otsinguväljale tekst Event Viewer ja vajutage linki Event Viewer;
   *sisestage otsinguväljale tekst eventvwr.msc ja vajutage linki eventvwr.msc.
2. aknas vasakul poolel valige Windows Logs (Windows Logid) alt Security (Turvalisus). Akna paremal poolel on nüüd näha kõik turvalisusega seotud sündmused, sealhulgas ka auditeerimislogid;



3. sündmuse avamiseks ja selle üksikasjade vaatamiseks tehke sellel sündmusel topeltklõps.

Kasutatud materjalid

http://windows.microsoft.com/et-EE/windows7/Monitor-attempts-to-access-and-change-settings-on-your-computer
http://windows.microsoft.com/en-US/windows7/Monitor-attempts-to-access-and-change-settings-on-your-computer
http://windows.microsoft.com/et-EE/windows7/What-information-appears-in-event-logs-Event-Viewer
William R. Stanek. Windows 7 Administrator's Pocket Consultant. Microsoft Press (2009)

Ivo Kruusamäe AK21