Hoe auditeer je het verwijderen van bestanden of mappen in Windows Server?

Over het verwijderen van auditbestanden op Windows Server

"Is er op Windows Server 2003 een manier om te zien of en wanneer een bestand is verwijderd? Onze webapplicatie stelt onze gebruikers in staat Word-documenten op de server te laden. We hebben echter gemerkt dat een Word-bestand ontbreekt en willen weten of het is verwijderd of nooit heeft bestaan."

Het auditen van bestands- en mapverwijdering is een belangrijk onderdeel van het beschermen van uw gegevens. Met auditing kunt u identificeren wie een specifiek bestand maakt, wijzigt of verwijdert. Als iemand bestanden verwijdert die gevoelige informatie of persoonlijke gegevens bevatten, loopt uw privacy gevaar en dit kan leiden tot onverwachte verstoringen van uw bedrijfsvoering.

Het is daarom belangrijk om auditing van bestandsverwijdering op Windows uit te voeren. Tegenwoordig is het auditen van bestanden veel gemakkelijker met Global Object Access auditing in Windows Server. Hieronder vindt u een stapsgewijze handleiding over het auditen van verwijderde bestanden op Windows Server.

Hoe bestandsverwijderingen te auditen op Windows Server?

Om het auditen van bestanden duidelijker te maken, is de hele procedure verdeeld in de volgende drie delen:

Deel 1. "Audit Object Access" inschakelen

Standaard is "Audit Object Access" niet ingeschakeld op Windows Server. U moet de auditinstellingen inschakelen en configureren met behulp van de Local Group Policy Editor. Hier zijn de stappen:

Stap 1. Open "Group Policy Management" op de primaire domeincontroller.

Stap 2. In Group Policy Management, breidt u uw AD-forest, domeinen en uw domein uit.

Stap 3. Klik met de rechtermuisknop op "Default Domain Policy GPO" en selecteer "Bewerken" in het menu.

Stap 4. Ga naar "Computer Configuration" > "Windows-instellingen" > "Beveiligingsinstellingen" > "Lokaal beleid" > "Auditbeleid" > "Audit objecttoegang".

Stap 5. Dubbelklik op dit beleid om het venster "Eigenschappen" te openen, selecteer het selectievakje "Deze beleidsinstellingen definiëren" en klik vervolgens op "Geslaagd" en "Mislukt" onder "Deze pogingen controleren". Klik op "Toepassen" en "OK".

Stap 6. Sluit ten slotte "Group Policy Management Editor" en "Group Policy Management Console" af.

Deel 2. Auditing van bestanden en mappen instellen

Het inschakelen van de Audit Object Access-instelling is niet voldoende om het verwijderen van het bestand van Windows Server 2008 r2 te laten werken. U moet ook de auditing configureren van elk object dat u wilt controleren. Voer de volgende stappen uit om het in te stellen.

Stap 1. Open de Verkenner en selecteer de map die u wilt controleren. Klik er met de rechtermuisknop op en selecteer "Eigenschappen". Ga naar het tabblad "Beveiliging".

Stap 2. Klik op "Geavanceerd" om toegang te krijgen tot "Geavanceerde beveiligingsinstellingen" en ga naar het tabblad "Controleren". Klik op "Toevoegen" om een nieuwe vermelding toe te voegen.

Stap 3. U wordt naar het venster "Controleren - Invoer" gebracht waar u de volgende selecties maakt:

❉Principe: Iedereen

❉ Type: Alle

❉ Van toepassing op: Deze map, submappen en bestanden.

Stap 4. Selecteer vervolgens "Geavanceerde machtigingen" om alle machtigingen te bekijken.

Stap 5. Voor het volgen van de verwijdering van bestanden en mappen moet u de opties "Verwijderen" en "Submappen en bestanden verwijderen" selecteren.

Stap 6. Klik op "Toepassen" en "OK" om door te gaan.

Deel 3. Verwijderde bestanden en mappen bekijken in de gebeurtenisviewer

Stap 1. Druk op "Venster R" om het Uitvoeren venster te openen en voer "eventvwr.msc" in om de Windows-gebeurtenisviewer te openen en ga naar "Windows-logboeken" > "Beveiliging". Schakel de filter voor gebeurtenislogboek in met de gebeurtenis-ID 4663.

Stap 2. Zoals u kunt zien, bevat het alle gedetailleerde informatie over de gecontroleerde bestanden, waaronder de naam van het verwijderde bestand, het account van de gebruiker die het bestand heeft verwijderd en wanneer dit is gebeurd.

Bonus tip: Maak een back-up om uw bestanden te beschermen

Zoals u kunt zien, is het een beetje ingewikkeld voor Windows Server-auditbestand verwijderen. Om te voorkomen dat uw bestanden per ongeluk worden verwijderd of worden verwijderd door slechte mensen, wordt u geadviseerd een duplicaat van belangrijke bestanden te maken. De eenvoudigste manier is om de schijf te klonen met behulp van een professionele schijf kloon tool.

AOMEI Partition Assistant Server is zo"n tool die aan uw behoeften kan voldoen. Hiermee kunt u gemakkelijk en veilig schijven klonen op Windows Server 2025/2022/2019/2016/2012 (R2)/2008 (R2). Na het klonen krijgt u een kopie van de oorspronkelijke schijf, waarmee u de verwijderde bestanden kunt herstellen zoals voorheen.

U kunt op de volgende knop klikken om de Server Demo versie te downloaden en uit te proberen.

Let op: Als u de hele harde schijf niet wilt kopiëren, kunt u een enkele partitie klonen of alleen het besturingssysteem migreren naar een andere schijf om uw gegevens en systeem veilig te houden.

Stap 1. Installeer en start AOMEI Partition Assistant, klik op "Klonen" in de hoofdinterface en selecteer "Schijf klonen".

Stap 2. Kies de harde schijf die u wilt klonen als de bron schijf en klik op "Volgende".

Stap 3. Selecteer de bestemmingsschijf om de gegevens van de bronschijf op op te slaan en klik vervolgens op "Volgende".

Stap 4. Vervolgens kunt u de bronschijf en bestemmingsschijf controleren in het volgende venster of overschakelen naar “Sector naar Sector kloon” en klik op de knop "Bevestigen" om door te gaan als er geen probleem is.

Hier kunt u ook op de "Instellingen" knop klikken om de partitiegrootte op de bestemmingsschijf aan te passen of het vakje "4k uitlijning" aanvinken om de lees- en schrijfsnelheid van de SSD te verbeteren als de doelschijf een SSD-schijf is.

Stap 5. Klik tenslotte op "Toepassen" en "Doorgaan" in het hoofdmenu om de harde schijf te klonen.

Conclusie

Als u wilt weten hoe u Windows Server audit file delete uitvoert, lees dan dit artikel aandachtig door. Vanwege de belangrijkheid van bestanden voor een computer is het aan te raden om er een volledige back-up van te maken. Er zijn echter nog steeds ongewenste bestanden die niet nuttig zijn voor het systeem maar wel invloed hebben op de prestaties ervan. Voor deze bestanden kunt u ze beter regelmatig verwijderen om uw pc in goede staat te houden.