ファイル共有の監査

  • [アーティクル]

ファイル共有の監査を使用すると、ファイル共有に関連するイベント (作成、削除、変更、アクセス試行) を監査できます。 また、失敗した SMB SPN チェックも表示されます。

共有のシステム アクセス制御リスト (SACL) はありません。したがって、この設定を有効にすると、システム上のすべての共有へのアクセスが監査されます。

ファイル システム監査と組み合わせることで、ファイル共有監査を使用すると、アクセスされたコンテンツ、要求のソース (IP アドレスとポート)、アクセスに使用されたユーザー アカウントを追跡できます。

イベント ボリューム:

  • ファイル サーバーの高。

  • グループ ポリシーで必要な SYSVOL ネットワーク アクセスが原因でドメイン コントローラーが高くなります。

  • メンバー サーバーとワークステーションの使用率が低い。

コンピューターの種類 一般的な成功 一般的なエラー より強力な成功 より強力なエラー コメント
ドメイン コントローラー はい はい はい はい ドメイン コントローラーの成功監査をお勧めします。これは、ネットワーク共有の削除、作成、変更のイベントを追跡することが重要であるためです。
失敗した SMB SPN チェックとネットワーク共有へのアクセス試行の失敗を追跡するには、失敗監査をお勧めします。
メンバー サーバー はい はい はい はい ネットワーク共有オブジェクトへの削除、作成、変更、アクセスの試行を追跡するには、成功監査をお勧めします。
失敗した SMB SPN チェックとネットワーク共有へのアクセス試行の失敗を追跡するには、失敗監査をお勧めします。
ワークステーション はい はい はい はい ネットワーク共有オブジェクトへの削除、作成、変更、アクセスの試行を追跡するには、成功監査をお勧めします。
失敗した SMB SPN チェックとネットワーク共有へのアクセス試行の失敗を追跡するには、失敗監査をお勧めします。

イベント リスト:

  • 5140(S, F): ネットワーク共有オブジェクトにアクセスしました。

  • 5142(S): ネットワーク共有オブジェクトが追加されました。

  • 5143(S): ネットワーク共有オブジェクトが変更されました。

  • 5144(S): ネットワーク共有オブジェクトが削除されました。

  • 5168(F): SPN で SMB/SMB2 のチェックに失敗しました。