Alle SACL s auf dem Server auflisten und mögliches Sicherheitsproblem abklären in Zusammenhang mit Objektüberwachung

Hallo allerseits,

folgende Einträge hatte ich im eventvwr:



Der Hintergrund ist, ich habe für 2 Ordner auf dem Server die Objektüberwachung aktiviert durch geänderte Gruppenrichtline mit WMI Filter auf Server OS, der so aussieht > select * from Win32_OperatingSystem where (ProductType = "2") OR (ProductType = "3")

Dies ist ein paar Tage her, Anfang der Woche.

damit wollte ich bewirken das nur der Server angesprochen wird mit der Gruppenrichtlinie da sich die Ordner die Überwacht werden sollen auf diesem befinden.
Die Einstellung ist die:

danach habe ich für besagte Ordner die SACL aktiviert über Eigenschaften--> Sicherheit--> Erweitert--> Reiter Überwachung und dort Ordner/Dateien löschen, Dateien/ordner erstellen u.ä. aktiviert.
Streng nach Lehrbuch

Aber wenn ich dort dann beispielsweise einen Ordner erstelle wird dies nicht angezeigt. Im Gegenteil, normalerweise habe ich im eventvwr zig Einträge zu Anmeldungen u.ä. die sind nun weg. Tägliche kommen einige dazu wie die oben beschriebenen aber ich habe nichts um 01.37 Uhr morgens gemacht und mir ist nicht bekannt das das system selbst diese erstellt.

Ich vermute das ich den WMI falsch gesetzt habe ( wollte das mal durchgeführt haben, lerne immer noch dazu) habs jetzt geändert und für den Bereich stumpf wieder den Server genommen aber auch das bringt nichts. Nach dem Ändern auf den Server als Objekt des Bereichs wurden einige Einträge wie die oben generiert und sonst nichts. Ordner erstellt und gelöscht in überwachten Ordner wird nicht angezeigt.

Habt ihr ne Idee was Falsch gelaufen ist mit meinem WMI Filter?

Zum anderen, habt ihr eine Idee wie ich mir anzeigen lassen kann bei welchen Ordnern eine SACL aktiv ist? Im Netz und in der Literatur finde ich nichts oder suche nicht nach den richtigen Stichwörtern.


Aber davon mal abgesehen, muss ich mir Sorgen machen wegen den Einträgen oben von 01:37 heute früh?

Gruß Tom