Как проверить активность удаления файлов или папок на сервере Windows?

О файле удаления аудита в Windows Server

"В Windows Server 2003 есть способ узнать, был ли и когда удален файл? Наше веб-приложение позволяет пользователям загружать файлы Word на сервер. Однако мы обнаружили, что один файл Word отсутствует, и хотели бы узнать, был ли он удален или никогда не существовал."

Аудит удаления файлов и папок - важная часть защиты ваших данных. С помощью аудита вы можете определить, кто создает, изменяет или удаляет определенный файл. Если кто-то удаляет файлы, содержащие конфиденциальную информацию или личные данные, ваша конфиденциальность будет на грани утечки, что может привести к неожиданным нарушениям в вашем бизнесе.

Поэтому важно проводить аудит удаления файлов в Windows Server. В наши дни аудирование файлов стало намного проще с помощью глобального аудита доступа к объектам в Windows Server. Ниже приведено пошаговое руководство по аудиту удаления файлов в Windows Server.

Как аудировать удаленные файлы в Windows Server?

Чтобы сделать процесс аудита яснее, весь процесс разделен на следующие три части:

Часть 1. Включить "Аудит доступа к объектам"

По умолчанию, аудит доступа к объектам не включен в Windows Server. Вы должны включить и настроить параметры аудита с помощью редактора локальной групповой политики. Для этого выполните следующие шаги:

Шаг 1. Откройте "Диспетчер групповых политик" на основном контроллере домена.

Шаг 2. В диспетчере групповых политик разверните свой AD-лес, раздел "Домены" и ваш домен.

Шаг 3. Щелкните правой кнопкой мыши на GPO "Групповая политика по умолчанию для домена", и выберите "Правка" в меню.

Шаг 4. Перейдите к "Конфигурация компьютеров" > "Параметры Windows" > "Настройки безопасности" > "Учетные политики" > "Политика аудита" > "Доступ к объектам".

Шаг 5. Дважды щелкните эту политику, чтобы открыть окно "Свойства", установите флажок "Определить эти настройки политики", затем выберите "Успех" и "Сбой" под "Аудитировать эти попытки". Нажмите "Применить" и "OK".

Шаг 6. Наконец, закройте "Редактор диспетчера групповых политик" и "Консоль диспетчера групповых политик".

Часть 2. Настройте аудит файлов и папок

Преведите вышеуказанное содержимое на русский язык. Содержимое, которое нужно перевести, не переводите значения атрибута href HTML-тега a и значения атрибута src тега img. Содержимое в {{}} не требует перевода. Tекст на кириллице не переводите или изменяйте структуры HTML и их атрибуты.

Включение настройки Audit Object Access недостаточно для работы аудита удаления файлов в Windows server 2008 r2. Вам также необходимо настроить аудит каждого объекта, который вы хотите отслеживать. Выполните следующие шаги для его установки.

Шаг 1. Запустите Проводник файлов и выберите папку, которую вы хотите аудировать. Нажмите правой кнопкой мыши на нее и выберите "Свойства". Перейдите на вкладку "Безопасность".

Шаг 2. Нажмите "Дополнительно", чтобы получить доступ к "Расширенным параметрам безопасности", и перейдите на вкладку "Аудит". Нажмите "Добавить", чтобы добавить новую запись.

Шаг 3. Вы попадете в окно "Запись аудита", где вы сделаете следующие выборы:

❉Субъект: Все

❉ Тип: Все

❉ Применяется к: Эта папка, подпапки и файлы.

Шаг 4. Затем выберите "Расширенные разрешения" для просмотра всех разрешений.

Шаг 5. Для отслеживания удаления файлов и папок выберите опции "Удалить" и "Удалить подпапки и файлы".

Шаг 6. Нажмите "Применить" и "ОК", чтобы продолжить.

Часть 3. Просмотр удаленных файлов и папок в Просмотре событий

Шаг 1. Нажмите клавиши "Win R", чтобы открыть окно Выполнить, и введите "eventvwr.msc", чтобы открыть Просмотр событий Windows и перейти в "Журналы Windows" > "Безопасность". Включите фильтр журнала событий с помощью идентификатора события 4663.

Шаг 2. Как вы можете видеть, он содержит всю подробную информацию об аудируемых файлах, включая имя удаленного файла, учетную запись пользователя, который удалил файл, и время события.

Бонусный совет: Создайте резервную копию, чтобы защитить свои файлы

Как видите, аудит удаления файла в Windows Server немного сложен. Для того чтобы предотвратить случайное удаление файлов или удаление злоумышленниками, рекомендуется создать дубликат важных файлов. Самый простой способ - клонировать диск с помощью профессионального инструмента для клонирования дисков.

AOMEI Partition Assistant Server — такой инструмент, который полностью удовлетворит ваши потребности. Он позволяет легко и безопасно клонировать диск на Windows Server 2025/2022/2019/2016/2012 (R2)/2008 (R2). После клонирования вы получите копию оригинального диска, что поможет вам восстановить удаленные файлы.

Вы можете нажать на следующую кнопку, чтобы скачать пробную версию для сервера и попробовать.

Примечание: Если вы не хотите копировать весь жесткий диск, вы можете клонировать только один раздел или переместить только ОС на другой диск, чтобы сохранить ваши данные и систему в безопасности.

Шаг 1. Установите и запустите AOMEI Partition Assistant, нажмите "Клонирование" в основном интерфейсе и выберите "Клонировать диск".

Шаг 2. Выберите жесткий диск, который вы хотите склонировать, в качестве исходного диска и нажмите "Далее".

Шаг 3. Выберите целевой диск для сохранения данных с исходного диска и нажмите "Далее".

Шаг 4. Затем вы можете проверить исходный и целевой диски в следующем окне или изменить на "клонирование сектора в сектор", и нажмите кнопку "Подтвердить", чтобы продолжить, если нет проблем.

Здесь вы также можете нажать кнопку "Настройки", чтобы настроить размер раздела на целевом диске или отметить "4k выравнивание", чтобы улучшить скорость чтения и записи на SSD, если целевой диск является SSD-диском.

Шаг 5. Наконец, нажмите "Применить" и "Продолжить" в главном интерфейсе для начала клонирования жесткого диска.

Заключение

Если вы хотите узнать, как выполнить удаление аудита файлов Windows Server, внимательно прочитайте эту статью. В связи с значимостью файлов для компьютера, рекомендуется выполнить их полное резервное копирование. Однако существуют ненужные файлы, которые не являются полезными для системы, но влияют на ее производительность. Файлы эти необходимо регулярно удалять, чтобы поддерживать ваш ПК в хорошем состоянии.