Miten seurataan, kun joku käyttää kansiota tietokoneessa

Windowsissa on mukava pieni ominaisuus, jonka avulla voit seurata, kun joku tarkastelee, muokkaa tai poistaa jotain tietyn kansion sisällä. Joten jos on kansio tai tiedosto, jonka haluat tietää, kuka käyttää, niin tämä on sisäänrakennettu menetelmä ilman kolmannen osapuolen ohjelmistoa.

Tämä ominaisuus on itse asiassa osa Windows-suojausominaisuutta, jota kutsutaan Ryhmäpolitiikka, jota käyttävät useimmat IT-ammattilaiset, jotka hallinnoivat yrityskeskuksen tietokoneita palvelimien kautta, sitä voidaan kuitenkin käyttää myös paikallisesti tietokoneessa ilman palvelimia. Ainoa haittapuoli ryhmäkäytännön käytössä on, että se ei ole käytettävissä Windowsin alemmissa versioissa. Windows 7: ssä on oltava Windows 7 Professional tai uudempi. Windows 8: ssa tarvitaan Pro tai Enterprise.

Termi Ryhmäkäytäntö tarkoittaa periaatteessa joukkoa rekisteriasetuksia, joita voidaan ohjata graafisella käyttöliittymällä. Voit ottaa käyttöön tai poistaa käytöstä erilaisia ​​asetuksia ja nämä muutokset päivitetään Windows-rekisterissä.

Windows XP: ssä pääset käytännön muokkausohjelmaan napsauttamalla alkaa ja sitten Juosta. Kirjoita tekstiruutuun “gpedit.msc”Ilman lainausmerkkejä kuten alla on esitetty:

Windows 7: ssä napsautat vain Käynnistä-painiketta ja kirjoita gpedit.msc Käynnistä-valikon alaosassa olevaan hakukenttään. Siirry Windows 8: ssa yksinkertaisesti Käynnistä-näyttöön ja aloita kirjoittaminen tai siirrä hiiren osoitin näytön oikeassa ylä- tai alaosassa avataksesi hurmaa ja napsauta Hae. Sitten kirjoita sisään gpedit. Nyt sinun pitäisi nähdä jotain, joka on samanlainen kuin alla oleva kuva:

Käytäntöjä on kaksi: käyttäjä ja Tietokone. Kuten olet ehkä arvannut, käyttäjäkäytännöt ohjaavat kunkin käyttäjän asetuksia, kun taas tietokoneen asetukset ovat järjestelmän laajoja asetuksia ja vaikuttavat kaikkiin käyttäjiin. Meidän tapauksessamme haluamme, että asetus on kaikille käyttäjille, joten laajennamme Tietokoneen kokoonpano jakso.

Jatka laajentamista Windowsin asetukset -> Suojausasetukset -> Paikalliset käytännöt -> Tarkastuspolitiikka. En aio selittää suurta osaa muista asetuksista, koska tämä keskittyy ensisijaisesti kansion auditointiin. Nyt näet oikealla puolella joukon käytäntöjä ja niiden nykyisiä asetuksia. Tarkistuskäytäntö on se, joka ohjaa, onko käyttöjärjestelmä määritetty ja valmis muuttamaan muutoksia.

Tarkista nyt asetus Tarkastuksen käyttöoikeus kaksoisnapsauttamalla sitä ja valitsemalla molemmat Menestys ja vika. Napsauta OK ja nyt olemme tehneet ensimmäisen osan, joka kertoo Windowsille, että haluamme sen olevan valmis seuraamaan muutoksia. Seuraava askel on kertoa, mitä haluamme seurata. Voit lopettaa ryhmäkäytäntökonsolin nyt.

Siirry nyt kansioon käyttämällä Windowsin Resurssienhallintaa, jota haluat seurata. Napsauta Explorerissa hiiren kakkospainikkeella kansiota ja napsauta ominaisuudet. Klikkaa Suojaus-välilehti ja näet jotain samanlaista:

Napsauta nyt Pitkälle kehittynyt -painiketta ja napsauta tilintarkastus välilehti. Täällä määritämme itse sen, mitä haluamme seurata tämän kansion kohdalla.

Siirry eteenpäin ja napsauta Lisätä painiketta. Näyttöön tulee valintaikkuna, jossa pyydetään valitsemaan käyttäjä tai ryhmä. Kirjoita ruutuun sana "käyttäjätJa napsauta Tarkista nimet. Laatikko päivittyy automaattisesti tietokoneen paikallisen käyttäjäryhmän nimellä COMPUTERNAME \ Users.

Napsauta OK ja nyt saat toisen valintaikkunan, jonka nimi onTarkastusrekisteri X: lle”. Tämä on todellinen liha siitä, mitä olemme halunneet tehdä. Tässä voit valita, mitä haluat katsella tätä kansiota varten. Voit erikseen valita, minkä tyyppisiä aktiviteetteja haluat seurata, kuten poistaa tai luoda uusia tiedostoja / kansioita jne. Jotta asiat olisi helpompia, ehdotan, että valitset Full Control -toiminnon, joka valitsee automaattisesti kaikki muut sen alla olevat vaihtoehdot. Tee tämä Menestys ja vika. Tällä tavalla, mitä tahansa kyseiselle kansiolle tai sen sisällä oleville tiedostoille tehdään, sinulla on ennätys.

Napsauta OK ja napsauta uudelleen OK ja OK vielä kerran päästäksesi pois useista valintaikkunoista. Ja nyt olet onnistuneesti määrittänyt auditoinnin kansioon! Joten saatat kysyä, miten katsot tapahtumia?

Jotta voit tarkastella tapahtumia, sinun täytyy mennä Ohjauspaneeliin ja napsauttaa Ylläpidon työkalut. Avaa sitten Tapahtuman katselija. Klikkaa turvallisuus ja näet suuren listan tapahtumista oikealla puolella:

Jos siirryt eteenpäin ja luot tiedoston tai yksinkertaisesti avaat kansion ja napsautat Tapahtumien katseluohjelman Päivitä-painiketta (painike, jossa on kaksi vihreää nuolia), näet joukon tapahtumia kategoriassa Tiedostojärjestelmä. Nämä koskevat mitä tahansa poistettavia, luettavia, luettavia ja kirjoitettavia kansioita / tiedostoja. Windows 7 -käyttöjärjestelmässä kaikki näkyy nyt Tiedostojärjestelmän tehtävä -luokassa, joten nähdäksesi mitä tapahtui, sinun täytyy napsauttaa kutakin ja vierittää sitä.

Jotta voit helpommin tarkastella niin monia tapahtumia, voit laittaa suodattimen ja nähdä vain tärkeät asiat. Klikkaa näkymä valikosta ja napsauta Suodattaa. Jos suodatinta ei ole, napsauta hiiren kakkospainikkeella vasemmanpuoleisen sivun Suojauslokia ja valitse Suodata nykyinen loki. Kirjoita tapahtuman tunnus -ruutuun numero 4656. Tämä on tapahtuma, joka liittyy tiettyyn käyttäjään, joka suorittaa a Tiedostojärjestelmä ja antaa sinulle tarvittavat tiedot ilman, että sinun tarvitsee tarkastella tuhansia merkintöjä.

Jos haluat lisätietoja tapahtumasta, kaksoisnapsauta sitä nähdäksesi.

Tämä on tiedot yllä olevasta näytöstä:

Pyydettiin objektin kahva.

Aihe:
Turvatunnus: Aseem-Lenovo
Tilin nimi: Aseem
Tilin toimialue: Aseem-Lenovo
Kirjautumistunnus: 0x175a1

Esine:
Object Server: Turvallisuus
Objektin tyyppi: Tiedosto
Objektin nimi: C: Käyttäjät Aseem Desktopufu Uusi teksti Document.txt
Kahvan tunnus: 0x16a0

Käsittele tietoja:
Prosessin tunnus: 0x820
Prosessin nimi: C: Windows Explorer.exe

Access Request Information:
Transaction ID: 00000000-0000-0000-0000-000000000000
Käyttöoikeudet: DELETE
SYNKRONOIDA
ReadAttributes

Yllä olevassa esimerkissä työstetty tiedosto oli uuden tekstin Document.txt työpöydän Tufu-kansiossa ja pyytämäni käyttöoikeudet olivat DELETE ja SYNCHRONIZE. Mitä tein täällä, oli poistaa tiedosto. Tässä on toinen esimerkki:

Objektin tyyppi: Tiedosto
Objektin nimi: C: Käyttäjät Aseem Desktopufu Osoite Labels.docx
Kahvan tunnus: 0x178

Käsittele tietoja:
Prosessin tunnus: 0x1008
Prosessin nimi: C: Ohjelmatiedostot (x86) Microsoft Office 14 WINWORD.EXE

Access Request Information:
Transaction ID: 00000000-0000-0000-0000-000000000000
Pääsy: READ_CONTROL
SYNKRONOIDA
ReadData (tai ListDirectory)
WriteData (tai AddFile)
LiiteData (tai AddSubdirectory tai CreatePipeInstance)
ReadEA
WriteEA
ReadAttributes
WriteAttributes

Syyt: READ_CONTROL: Omistusoikeus
SYNCHRONIZE: D: (A; ID; FA ;;; S-1-5-21-597862309-2018615179-2090787082-1000)

Kun luet tämän läpi, näet, että pääsin osoitteeseen Labels.docx WINWORD.EXE-ohjelmalla ja että minun käyttöoikeuteni sisälsivät READ_CONTROL ja käyttöoikeuteni olivat myös READ_CONTROL. Yleensä näet useamman pääsyn, mutta keskity vain ensimmäiseen, koska se on tavallisesti päätyyppi. Tässä tapauksessa avasin yksinkertaisesti tiedoston käyttämällä Wordia. Se vie vähän testejä ja lukee tapahtumia ymmärtääkseen, mitä on meneillään, mutta kun se on alaspäin, se on erittäin luotettava järjestelmä. Ehdotan, että luodaan tiedostoja sisältävä koekansio ja suoritetaan erilaisia ​​toimintoja, jotta näet, mitä tapahtumien katseluohjelmassa näkyy.

Se on melko paljon se! Nopea ja ilmainen tapa seurata kansion pääsyä tai muutoksia!