Jak przeprowadzić audyt usuwania plików lub folderów w serwerze Windows?

O pliku dziennika audytu usunięcia w systemie Windows Server

"Czy w systemie Windows Server 2003 istnieje możliwość sprawdzenia, czy i kiedy został usunięty plik? Nasza aplikacja internetowa pozwala użytkownikom ładować dokumenty Word na serwer. Jednakże, zauważyliśmy, że brakuje jednego pliku Word i chcielibyśmy dowiedzieć się, czy został on usunięty, czy po prostu nigdy nie istniał."

Audytowanie usunięcia plików i folderów stanowi istotny element ochrony danych. Dzięki audytowi można zidentyfikować, kto tworzy, modyfikuje lub usuwa dany plik. Jeżeli ktoś usuwa pliki zawierające poufne informacje lub dane osobowe, może spowodować wyciek prywatności i nieoczekiwane zakłócenia w działalności firmy.

Dlatego ważne jest przeprowadzenie audytu usunięcia plików w systemie Windows Server. Obecnie audytowanie plików jest bardziej ułatwione dzięki audytowi globalnego dostępu do obiektów w systemie Windows Server. Poniżej przedstawiamy krok po kroku instrukcję dotyczącą audytu usunięcia plików w systemie Windows Server.

Jak przeprowadzić audyt usuniętych plików w systemie Windows Server?

Aby proces audytu był bardziej przejrzysty, cała operacja została podzielona na trzy następujące części:

Część 1. Włączanie "Audit Object Access"

Domyślnie "Audit Object Access" nie jest włączony w systemie Windows Server. Powinieneś włączyć i skonfigurować ustawienia audytu za pomocą Edytora lokalnej grupy zasad. Poniżej znajdują się kroki, które należy wykonać:

Krok 1. Otwórz "Zarządzanie polityką grupy" na podstawowym kontrolerze domeny.

Krok 2. W Zarządzaniu polityką grupy rozwinić swoje usługodawstwo AD, domeny i swoją domenę.

Krok 3. Kliknij prawym przyciskiem myszy w odpowiednią GPO domyślną domeny "Default Domain Policy", a następnie wybierz "Edytuj" z menu.

Krok 4. Przejdź do "Konfiguracja komputera" > "Ustawienia systemu Windows" > "Ustawienia zabezpieczeń" > "Lokalne zasady" > "Polityka audytu" > "Audit object Access".

Krok 5. Kliknij dwukrotnie tę zasadę, aby otworzyć okno "Właściwości", zaznacz pole wyboru "Zdefiniuj te ustawienia zasad", a następnie kliknij "Sukces" i "Błąd" w sekcji "Audytuj te próby". Kliknij "Zastosuj" i "OK".

Krok 6. Na koniec zamknij "Edytor zarządzania polityką grupy" i "Konsolę zarządzania polityką grupy".

Część 2. Ustawianie audytu plików i folderów

Włączenie ustawienia Audit Object Access nie jest wystarczające, aby skonfigurować działanie audytu usuwania plików w systemie Windows Server 2008 R2. Musisz również skonfigurować audytowanie poszczególnych obiektów, które chcesz monitorować. Wykonaj następujące kroki, aby to ustawić.

Krok 1. Uruchom Eksplorator plików i wybierz folder, który chcesz poddać audytowi. Kliknij go prawym przyciskiem myszy i wybierz opcję "Właściwości". Przejdź do zakładki "Zabezpieczenia".

Krok 2. Kliknij przycisk "Zaawansowane", aby uzyskać dostęp do zaawansowanych ustawień zabezpieczeń, a następnie przejdź do zakładki "Audytowanie". Kliknij przycisk "Dodaj", aby dodać nowy wpis.

Krok 3. Zostaniesz przeniesiony do okna "Wpis audytu", w którym dokonasz następujących wyborów:

❉Podmiot: Wszyscy

❉ Typ: Wszystkie

❉ Dotyczy: Ten folder, podfoldery i pliki

Krok 4. Następnie wybierz "Zaawansowane uprawnienia", aby wyświetlić wszystkie uprawnienia.

Krok 5. W celu śledzenia usuwania plików i folderów wybierz opcje "Usuń" oraz "Usuń podfoldery i pliki".

Krok 6. Kliknij przycisk "Zastosuj" i "OK", aby przejść dalej.

Część 3. Wyświetlanie usuniętych plików i folderów w Podglądzie zdarzeń

Krok 1. Naciśnij kombinację klawiszy "Windows R", aby otworzyć okno dialogowe "Uruchamianie" i wpisz "eventvwr.msc", aby otworzyć Podgląd zdarzeń systemu Windows, a następnie przejdź do sekcji "Dzienniki systemu Windows" > "Zabezpieczenie". Włącz filtrowanie dziennika zdarzeń według identyfikatora zdarzenia 4663.

Krok 2. Jak widać, zawiera on wszystkie szczegółowe informacje na temat audytowanych plików, w tym nazwę usuniętego pliku, konto użytkownika, który usunął plik, oraz czas zdarzenia.

Dodatkowy wskazówka: Zrób kopię zapasową, aby chronić swoje pliki

Jak widzisz, audytowanie usuwania plików na Windows Server jest nieco skomplikowane. W celu ochrony swoich plików przed przypadkowym usunięciem lub usunięciem przez niepożądane osoby, zalecamy wykonanie kopii ważnych plików. Najłatwiejszym sposobem jest sklonowanie dysku za pomocą profesjonalnego narzędzia do klonowania dysków.

AOMEI Partition Assistant Server to taka rzecz, która może spełnić Twoje potrzeby. Umożliwia on sklonowanie dysku na dysk w systemie Windows Server 2025/2022/2019/2016/2012 (R2)/2008 (R2) w łatwy i bezpieczny sposób. Po sklonowaniu otrzymasz kopię oryginalnego dysku, co pozwoli Ci przywrócić usunięte pliki tak, jak wcześniej.

Możesz kliknąć poniższy przycisk, aby pobrać wersję demo dla serwerów i przetestować program.

Uwaga: Jeśli nie chcesz kopiować całego dysku twardego, możesz sklonować pojedynczą partycję lub migrować tylko system operacyjny na inny dysk, aby zachować bezpieczeństwo danych i systemu.

Krok 1. Zainstaluj i uruchom AOMEI Partition Assistant, kliknij "Clone" w głównym interfejsie, a następnie wybierz "Clone Disk".

Krok 2. Wybierz dysk twardy, który chcesz sklonować jako dysk źródłowy i kliknij "Dalej".

Krok 3. Wybierz docelowy dysk, na którym chcesz przechowywać dane z dysku źródłowego, a następnie kliknij przycisk „Dalej”.

Krok 4. Następnie możesz sprawdzić dysk źródłowy i dysk docelowy w kolejnym oknie lub przełączyć się na „Sektorowe kopiowanie”, a następnie kliknąć przycisk „Potwierdź”, aby kontynuować, jeśli nie ma problemów.

Tutaj możesz także kliknąć przycisk „Ustawienia”, aby dostosować rozmiar partycji na dysku docelowym lub zaznaczyć opcję „Wyrównanie 4K” w celu poprawienia szybkości odczytu i zapisu na dysku SSD, jeśli docelowy dysk to napęd SSD.

Krok 5. Na koniec kliknij „Zastosuj” i „Przejdź” w głównym interfejsie, aby rozpocząć klonowanie dysku twardego.

Podsumowanie

Jeśli chcesz dowiedzieć się, jak wykonać usuwanie plików audytu na serwerze Windows, dokładnie przeczytaj ten artykuł. Ze względu na ważność plików dla komputera zaleca się wykonanie pełnej kopii zapasowej. Jednak nadal występują zbędne pliki, które nie są przydatne dla systemu, ale wpływają na jego wydajność. Dla tych plików lepiej jest regularnie usuwać je, aby utrzymać PC w dobrym stanie.