Objektzugriff, Überwachung, Attributsänderung

Hallo zusammen,

schon mal vor ab vielen Dank für die Hilfe.


Server: Windwos Server 2003


Ausgangslage:
Ich habe auf einer Partition eine Freigabe, die einer Gruppe von 4 Personen zur Verfügung steht.
Diese 4 Personen sind Mitglied einer gemeinsamen Sicherheitsgruppe. Für diese Gruppe besteht auf der gesamten Freigabe (inklusive aller Ordner, Dateien) das Recht "ändern".

Ich habe die Objektzugriffsüberwachung aktiviert und auf dieser Freigabe eine Überwachung für die Gruppe angelegt. Die Überwachung besteht nur für den Punkt "Attribute schreiben". Hintergrund ist der, dass immer wieder Dateien einen Schreibschutz haben und sich keiner erklären kann woher dieser kommt. Dem möchte ich auf den Grund gehen.

In der Ereignisanzeige laufen nun auch unter Sicherheit munter Ereignisse der Kennung 567 auf. Unter Zugriff befindet sich dort der Vermerk "Zugriffe: Attribut schrieben".


Problem:
In dem Ereignis steht NICHT auf welche Datei sich das ganze bezieht. Ich sehe zwar eine Handlekennung, aber wie kann ich die auf die Datei zurückführen?


Frage:
Wenn ein Programm eine Datei öfnnet auf dem PC des betreffenden User wird dann auch mit der Kennung des Users das Schreibschutzflag gesetzt (damit andere sehen, dass jemand an der Datei arbeitet) oder wird das Flag vom System gesetzt, also nicht unter der Userkennung? Ansonsten kann ich ja kaum erkennen wann ein User dieses Flag gesetzt hat und wann ein Programm.


Vielen Dank!