Отслеживание удаление файлов

[krec]

Уже третий раз, сотрудники обращаются, что каким то чудным образом из шары, который лежит на F: диске, под управлением Windows 2019 server, удаляются/теряются файлы.
то есть есть папка, где имеют доступа отдел из 10-и человек, там у каждого свои именные папки есть, и вот, в одном из этих папок пропадают или целые каталоги с файлами или единичные файлы.
Пытался посмотреть через прогу "recuva", но ничего не находит удаленных с этого диска.

Может есть встроенные средства отслеживание за файлами? кто удалил и когда.
Может аудит надо включить? ну чтоб на производительность сервера не влияло.

[dmitryst]

krec, может, их тупо переносят мышью в другие папки? (у меня так было неоднократно, "Усё пропало, файла нет, стёрли!!!! Аааа!!!". Смотришь в поиске - а вот он, в другой папке лежит.... Ну у меня-то samba с настроенным аудитом, можно посмотреть, кто и когда что делал... Как в 2019 - не подскажу :( )

[krec]

dmitryst, да, такой вариант тоже рассмотрел, делал поиск и по файлам, и по типу/расширению, нет ничего.

[dmitryst]

krec, ну тогда пробуйте как-то так (https://winitpro.ru/index.php/2016/05/04/prostaya-sistema-audita-udaleniya-fajlov-i-papok-dlya-windows-server/)

[Anton04]

Может аудит надо включить? »

Как подсказал коллега dmitryst, аудит Вам поможет. Плюс к этому теневое копирование на сервере будет не лишним.

[krec]

понял, спасибо, попробую. А без AD пойдет?
У нас просто AD нету. Но на сервере есть учетные записи, от локальных машин, по которым они подключаюся к шарам на сервере.

[dmitryst]

А без AD пойдет? »
Запускайте на сервере локальные политики - gpedit.msc. Вам нужен аудит сервера, вот на нем и включайте аудит, рабочие места не трогайте.

[snark]

Делал по этой статье (https://winitpro.ru/index.php/2016/05/04/prostaya-sistema-audita-udaleniya-fajlov-i-papok-dlya-windows-server/) для английской версии Windows Server 2016, удаления пишутся в текстовые файлы, поиск по журналу каждые 10 минут (чтобы размазывать нагрузку). Файлы с записями об удалениях складываются в папку D:\.FileLog в подкаталоги ГГГГ\ММ\ДД. Есть ещё параллельная запись в MS SQL, но я убрал этот вариант, на первое время хватит и текстовиков. Конечно же, включен аудит успешных удалений от корня шары. Включены теневые копии для быстрого восстановления.

В строке if (($Body -match ".*SHARE*") -and ($Body.User_ -notmatch 'DFS01*')) SHARE — то название корневого каталога на файловом сервере, а DFS01 — имя самого файлового сервера. Эти значения замените своими.


$Time = (Get-Date) - (New-Timespan -Min 10)
$BodyL = ""

# $Events - содержит время и порядковый номер записи евента с ID=4660. И сортируем по порядковому номеру.
# При удалении файла создается сразу 2 записи, с ID=4660 и ID=4663.
$Events = Get-WinEvent -FilterHashtable @{LogName = "Security"; ID = 4660; StartTime = $time } | Select TimeCreated, @{n = "Record"; e = { ([xml]$_.ToXml()).Event.System.EventRecordID } } | sort Record
$TimeSpan = New-TimeSpan -sec 1
foreach ($event in $events) {
$PrevEvent = $Event.Record
$PrevEvent = $PrevEvent - 1
$TimeEvent = $Event.TimeCreated
$TimeEventEnd = $TimeEvent + $TimeSpan
$TimeEventStart = $TimeEvent - (New-Timespan -sec 1)
$Body = Get-WinEvent -FilterHashtable @{LogName = "Security"; ID = 4663; StartTime = $TimeEventStart; EndTime = $TimeEventEnd } | ? { ([xml]$_.ToXml()).Event.System.EventRecordID -match "$PrevEvent" } | ? { ([xml]$_.ToXml()).Event.EventData.Data | ? { $_.name -eq "ObjectName" } | ? { ($_.'#text') -notmatch ".*tmp" } | ? { ($_.'#text') -notmatch ".*~lock*" } | ? { ($_.'#text') -notmatch ".*~$*" } } | select TimeCreated, @{n = "File_"; e = { ([xml]$_.ToXml()).Event.EventData.Data | ? { $_.Name -eq "ObjectName" } | % { $_.'#text' } } }, @{n = "User_"; e = { ([xml]$_.ToXml()).Event.EventData.Data | ? { $_.Name -eq "SubjectUserName" } | % { $_.'#text' } } }
if (($Body -match ".*SHARE*") -and ($Body.User_ -notmatch 'DFS01*')) {
$LocalTime = ($Body.TimeCreated).ToString("yyyy-MM-dd HH:mm:ss")
$BodyL = $BodyL + $LocalTime + "`t" + $Body.File_ + "`t" + $Body.User_ + "`n"
}
}

$Hour = $Time.ToString("HH")
$Day = $Time.ToString("dd")
$Month = $Time.ToString("MM")
$Year = $Time.Year
$name = "DeletedFiles-" + $Year + $Month + $Day + "-" + $Hour + ".txt"
$YearF = "D:\.FileLog\" + $Year
$MonthF = $YearF + "\" + $Month
$DayF = $MonthF + "\" + $Day
$folders = $YearF, $MonthF, $DayF
foreach ($sub in $folders) {
if (!(Test-Path $sub)) {New-Item -Path $sub -ItemType Directory}
}
$Outfile = $DayF + "\" + $name
$BodyL | Out-File $Outfile -Append