2012 R2

Anton04 · Конфигурация компьютера

Цитата dahiko:

Включая, если было изменено содержимое файла или папки. »

Цитата dahiko:

Подскажите, как можно реализовать аудит изменения определенного файла в папке или содержимого всей папки? »

Если вы имеете в виду разницу, например одного документа, между тем что было и что стало то штатными средствами никак, только если переносить все документы в БД и уже средствами БД рулить. Аудит системы покажет Вам только то что было обращение к объекту и кто делал обращение.

dahiko · Отправлено: **21:00, 03-03-2019** | #3

Цитата Anton04:

Цитата dahiko:

Включая, если было изменено содержимое файла или папки. »

Цитата dahiko:

Подскажите, как можно реализовать аудит изменения определенного файла в папке или содержимого всей папки? »

Если вы имеете в виду разницу, например одного документа, между тем что было и что стало то штатными средствами никак, только если переносить все документы в БД и уже средствами БД рулить. Аудит системы покажет Вам только то что было обращение к объекту и кто делал обращение.

Нет. Не надо сравнивать содержимое файла. Достаточно, чтобы в логах появилось событие, что файл был изменён

Iska · Отправлено: **22:35, 03-03-2019** | #4

Цитата dahiko:

что файл был изменён »

Не факт, что он был изменён.

P.S. А для Word'а и Excel'я произведённое сохранение файла вообще означает удаление старого файла и создание на его месте одноимённого нового.

paranoya · Отправлено: **09:39, 04-03-2019** | #5

dahiko, групповая политика привязана к OU в котором находит сервер, которой нужно мониторить?

dahiko · Отправлено: **10:30, 20-12-2019** | #6

Цитата paranoya:

xcel'я произведённое сохранение файла вообще означает удаление старого файла и создание на его месте одноимённого нового. »

Да, конечно. Проверил еще раз.

Дополнительно проверил, что замыкания (loopback) в GPO отключен.

dahiko · Отправлено: **12:36, 20-12-2019** | #7

Убрал аудит, еще раз все настроил. Получил нужное событие при изменении файла. В таком случае генерируется EventID 4663 с Access Mask: 0x6 и с Accesses: WriteData

Пример события.

An attempt was made to access an object.

Subject:
Security ID: хх\administrator
Account Name: administrator
Account Domain: хх
Logon ID: 0x3DE02

Object:
Object Server: Security
Object Type: File
Object Name: C:\...........\New Text Document.txt
Handle ID: 0x178
Resource Attributes: S:AI

Process Information:
Process ID: 0x113c
Process Name: C:\Windows\System32\notepad.exe

Access Request Information:
Accesses: WriteData (or AddFile)
AppendData (or AddSubdirectory or CreatePipeInstance)
Access Mask: 0x6