Überwachen von Dateifreigaben mit dem Windows-Sicherheitsprotokoll

Im Laufe der Jahre wurde ich immer wieder von Sicherheitsadministratoren gefragt, wie man Dateifreigaben in Windows prüft. Bis Windows Server 2008 gab es keine spezifischen Ereignisse für Dateifreigaben. Das Beste, was wir tun konnten, war, die Überwachung des Registrierungsschlüssels zu aktivieren, in dem Freigaben definiert sind. Aber in Windows Server 2008 und höher gibt es zwei neue Unterkategorien für Freigabeereignisse:

• Dateifreigabe
• Detaillierte Dateifreigabe

Dateifreigabeereignisse

In dieser Unterkategorie können Sie die Erstellung, Änderung und Löschung freigegebener Ordner verfolgen (siehe Tabelle unten). Für jeden dieser drei Vorgänge haben Sie eine andere Ereignis-ID. Die Ereignisse geben an, wer die Änderung in den Betrefffeldern vorgenommen hat, und geben den Namen an, den die Freigabebenutzer beim Durchsuchen des Netzwerks sehen, sowie den Patch für den Dateisystemordner, der von der Freigabe bereitgestellt wird. Sehen Sie sich unten das Beispiel der Ereignis-ID 5142 an.

Ein Netzwerkfreigabeobjekt wurde hinzugefügt.

Betreff:
Sicherheits-ID: W8R2wsmith
Kontoname: wsmith
Kontodomäne: W8R2
Anmelde-ID: 0x475b7

Freigabeinformationen:
Freigabename: \*AcmeAccounting
Freigabepfad: C:AcmeAccounting

Die schlechte Nachricht ist, dass die Unterkategorie jedes Mal, wenn ein Benutzer eine Verbindung zu einer Freigabe herstellt, auch die Ereignis-ID 5140 erzeugt. Die protokollierten Daten, einschließlich der Personen, die darauf zugegriffen haben, und der IP-Adresse des Clients sind nett, aber das Ereignis wird viel zu häufig protokolliert. Da Windows keine Netzwerkanmeldesitzungen aktiv hält, wenn keine Dateien geöffnet sind, wird dieses Ereignis häufig auftreten, wenn Sie die Überwachungsunterkategorie „Dateifreigabe“ aktivieren. Es gibt keine Möglichkeit, Windows so zu konfigurieren, dass nur die Freigabeänderungsereignisse und nicht auch dieses Zugriffsereignis erzeugt werden. Das ist natürlich der Sinn einer SIEM- und Protokollverwaltungsplattform, die das Herzstück von Netsurion Open XDR bildet und das Rauschen herausfiltert.

5140

Auf ein Netzwerkfreigabeobjekt wurde zugegriffen

5142

Ein Netzwerkfreigabeobjekt wurde hinzugefügt.

5143

Ein Netzwerkfreigabeobjekt wurde geändert

5144

Ein Netzwerkfreigabeobjekt wurde gelöscht.

Detaillierte Dateifreigabeereignisse

Die oben erläuterte Ereignis-ID 5140 soll jede Verbindung zu einer Netzwerkfreigabe dokumentieren und protokolliert daher nicht die Namen der Dateien, auf die über diese Freigabeverbindung zugegriffen wird. Die Audit-Unterkategorie „Detaillierte Dateifreigabe“ stellt diese niedrigere Informationsebene mit nur einer Ereignis-ID - 5145 - bereit, die unten angezeigt wird.

Ein Netzwerkfreigabeobjekt wurde überprüft, um festzustellen, ob dem Client der gewünschte Zugriff gewährt werden kann.

Betreff:
Sicherheits-ID: SYSTEM
Kontoname: WIN-KOSWZXC03L0$
Kontodomäne: W8R2
Anmelde-ID: 0x86d584

Netzwerkinformationen:
Objekttyp: Datei
Quelladresse: fe80::507a:5bf7:2a72:c046
Quellport: 55490

Freigabeinformationen:
Freigabename: \*SYSVOL
Freigabepfad: ??C:WindowsSYSVOLsysvol
Relativer Zielname: w8r2.comPolicies{6AC1786C-016F-11D2-945F-00C04fB984F9}MachineMicrosoftWindows NTAuditaudit.csv

Informationen zur Zugriffsanforderung:
Zugriffsmaske: 0x120089
Zugriffe: READ_CONTROL
SYNCHRONIZE
ReadData (oder ListDirectory)
ReadEA
ReadAttributes

Ergebnisse der Zugriffsprüfung:
READ_CONTROL: Gewährt durch Eigentümerschaft
SYNCHRONIZE: Gewährt durch D:(A;;0x1200a9;;;WD)
ReadData (oder ListDirectory): Gewährt durch D:(A;;0x1200a9; ;;WD)
ReadEA: Gewährt durch D:(A;;0x1200a9;;;WD)
ReadAttributes: Gewährt durch D:(A;;0x1200a9;;;WD)

Dieses Ereignis identifiziert den Benutzer (Betrefffelder), die IP-Adresse des Benutzers (Netzwerkinformationen), die Freigabe und die tatsächliche Datei, auf die über die Freigabe zugegriffen wird (Freigabeinformationen) und stellt dann die angeforderten Berechtigungen und die Ergebnisse der Zugriffsanforderung bereit. Dieses Ereignis protokolliert tatsächlich den Zugriffsversuch und ermöglicht es Ihnen, Fehlversionen des Ereignisses sowie Erfolgsereignisse anzuzeigen.

Seien Sie vorsichtig bei der Aktivierung dieser Überwachungsunterkategorie, da Sie jedes Mal, wenn die Anwendung die Datei öffnet, für jede Datei, auf die über Netzwerkfreigaben zugegriffen wird, ein Ereignis erhalten. Dies kann bei einigen Anwendungen wie Microsoft Office häufiger vorkommen als gedacht. Bedenken Sie jedoch, dass diese Kategorie keine Zugriffsversuche auf dieselben Dateien abfängt, wenn eine lokal ausgeführte Anwendung über den lokalen Patch (z. B. c:docsfile.txt) statt über einen Patch auf die Datei zugreift.

Möglicherweise möchten Sie auch die Überwachung einzelner Ordner mit kritischen Dateien aktivieren und die Unterkategorie „Dateisystem“ verwenden. Mit dieser Methode können Sie viel gezielter festlegen, wer, welche Dateien und welche Zugriffsarten überwacht werden.

Aktivieren Sie in den meisten Organisationen die Unterkategorie „Dateifreigabe“, wenn Sie wissen möchten, wann neue Ordner freigegeben werden. Sie möchten wahrscheinlich die 5140 Vorkommen herausfiltern. Wenn Sie dann eine Prüfung auf Dateiebene benötigen, aktivieren Sie die Unterkategorie „Dateizugriff“, identifizieren Sie die genauen Ordner, die die relevanten Dateien enthalten, und aktivieren Sie die Prüfung dieser Ordner für die spezifischen Vorgänge (z. B. Lesen, Schreiben, Löschen), die zur Erfüllung Ihrer Prüfanforderungen erforderlich sind. Aktivieren Sie die Unterkategorie „Detaillierte Dateifreigabeprüfung“ nicht, es sei denn, Sie möchten wirklich Ereignisse für jeden Zugriff auf jede Datei über Netzwerkfreigaben.