9
Dateien von Fileserver verschwunden
Hallo,
ein Mitarbeiter hat mir bereits 3-4 gemeldet, dass Dateien aus einem bestimmten Verzeichnis verschwunden sind. Diese konnten mittels Vorgängerversion wiederhergestellt werden. Verwendet wird ein Server 2012 R2 als Basis. Die Clients sind Win7 64bit. Offline Synchro ist deaktiviert.
Auf den Ordner sind rund 20 Leute berechtigt, wobei es natürlich sein kann, dass eine Person X ausversehen Ordner verschiebt/löscht. Systemseitig passierte um die Zeit nichts (Der Server wird nur Freitags gesichert).
Nun meine Frage. Gibt es eine Möglichkeit oder ein Tool einen bestimmten Ordnerbereich überwachen zu lassen um festzustellen, welche Person ggfs. die Sachen gelöscht hat?
Grüße Sebastian
ein Mitarbeiter hat mir bereits 3-4 gemeldet, dass Dateien aus einem bestimmten Verzeichnis verschwunden sind. Diese konnten mittels Vorgängerversion wiederhergestellt werden. Verwendet wird ein Server 2012 R2 als Basis. Die Clients sind Win7 64bit. Offline Synchro ist deaktiviert.
Auf den Ordner sind rund 20 Leute berechtigt, wobei es natürlich sein kann, dass eine Person X ausversehen Ordner verschiebt/löscht. Systemseitig passierte um die Zeit nichts (Der Server wird nur Freitags gesichert).
Nun meine Frage. Gibt es eine Möglichkeit oder ein Tool einen bestimmten Ordnerbereich überwachen zu lassen um festzustellen, welche Person ggfs. die Sachen gelöscht hat?
Grüße Sebastian
Auf Facebook teilen
Auf X (Twitter) teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 287387
Url: https://administrator.de/forum/dateien-von-fileserver-verschwunden-287387.html
Ausgedruckt am: 13.04.2025 um 12:04 Uhr
9 Kommentare
Neuester Kommentar
Vielleicht hilft Dir ein Tool der folgenden Webseite weiter:
https://www.raymond.cc/blog/3-portable-tools-monitor-files-folders-chang ...
https://www.raymond.cc/blog/3-portable-tools-monitor-files-folders-chang ...
Moin,
Stichwort: NTFS-Auditing
Rechtsklick auf den Ordner > Eigenschaften > Sicherheit > Überwachung
Dann noch in der lokalen Security-Policy auf dem das Share liegt das Auditing einschalten, dann werden die Zugriffe des Ordners im Security-Eventlog aufgezeichnet.
Auditing mit Windows
Gruß jodel32
Stichwort: NTFS-Auditing
Rechtsklick auf den Ordner > Eigenschaften > Sicherheit > Überwachung
Dann noch in der lokalen Security-Policy auf dem das Share liegt das Auditing einschalten, dann werden die Zugriffe des Ordners im Security-Eventlog aufgezeichnet.
Auditing mit Windows
Gruß jodel32
Danke Jodel, dass klingt genau nach meinen Vorstellung.
Ich habe im Auditing folgende Einstellung:
Anmeldeereignisse überwachen: Erfolgreich Fehler
Anmelderversuche überwachen : Erfolgreich Fehler
Ojbekzugriffsversuche überwachen: Erfolgreich
Systemereignisse Überwachen: Erfolgreich Fehler
Verzeichnisdienstzugriff überwachen: Erfolgreich
Reichen diese um festzustellen, wenn ein Ordner verändert/gelöscht wurde?
Ich habe im Auditing folgende Einstellung:
Anmeldeereignisse überwachen: Erfolgreich Fehler
Anmelderversuche überwachen : Erfolgreich Fehler
Ojbekzugriffsversuche überwachen: Erfolgreich
Systemereignisse Überwachen: Erfolgreich Fehler
Verzeichnisdienstzugriff überwachen: Erfolgreich
Reichen diese um festzustellen, wenn ein Ordner verändert/gelöscht wurde?
Das hier reicht völlig aus:
Detaillierter geht es auch noch in den Erweiterte Überwachungsrichtlinienkonfiguration
Objekzugriffsversuche überwachen: Erfolgreich
mit zusätzlich dem entsprechenden Überwachungs-Eintrag in der ACL des Ordners auf Löschversuche.Detaillierter geht es auch noch in den Erweiterte Überwachungsrichtlinienkonfiguration
Alles klar, haut hin habe es getestet. Tausend Dank!
Wie funktioniert die Filterung bei gespeicherten/archivierten Logs. Da nimmt er immer die Standardansicht. Wenn ich unter Eigenschaften XML den Code für die Anzeige von nur DELTE eintrage, erscheint:
Das Ereignisprotokoll oder die benutzerdefinierte Ansicht kann nicht geöffnet werden. Überprüfen Sie, ob deR Ereignisprotokolldienst ausgeführt oder ob die Abfrage zu lang ist. Der angegebene Kanal ist ungültig (15000)
Grüße
Das Ereignisprotokoll oder die benutzerdefinierte Ansicht kann nicht geöffnet werden. Überprüfen Sie, ob deR Ereignisprotokolldienst ausgeführt oder ob die Abfrage zu lang ist. Der angegebene Kanal ist ungültig (15000)
Grüße
Die Einstellungen die dort beschrieben werden hatte ich bereits gesetzt, wenn ich diese jedoch auf die gespeicherten Protokolle anwenden möchte erscheint die Meldung aus meinem Kommentar zuvor.
Bei der aktuellen Logdatei lässt es sich problemlos filtern, bis diese gespeichert wurde.
Bei der aktuellen Logdatei lässt es sich problemlos filtern, bis diese gespeichert wurde.
