Audit Eintrag wenn Datei geöffnet wird... warum so viele Einträge?

[Knorkator 12]

Hallo zusammen,

 

ein Kollege von mir möchte Informiert werden, wenn eine bestimmte Datei von einem Benutzer bzw. einer Gruppe von Benutzern geöffnet wird.

Ist soweit auch kein Problem habe ich mir gedacht...

 

Nach einigem probieren und lesen bin ich aber etwas verzweifelt, da für jedes öffnen mehrere Events protokolliert werden.

 

Getestet habe u.a. ich folgendes:

 

Neue GPO und Editierung der Überwachung in den Sicherheitseinstellungen der Datei.

Richtlinien\Windows-Einstellungen\Sicherheitseinstellungen\Erweiterte Überwachungskonfiguration\Objektzugriff\Dateisystem überwachen -> Erfolgreich

Dann in der entsprechenden Datei die Überwachung für "Ordner auflisten / Daten lesen" einstellen.

Nun werden aber 4-5 4663er ID´s protokolliert welche sich nur über die Handle-ID unterscheiden (und diese ist scheinbar zufallsgeneriert).

 

Die Weiterverarbeitung möchte ich über die Software Graylog erledigen, dort benötige ich aber entweder ein Event oder etwas eindeutiges im Event.

 

 

Vielen Dank für jeden Tipp!

 

[blub 115]

hast du auf den advanced permissions am File mal nachgesehen. Das Read besteht ja aus mehreren Unterrechten (Read attributes, etc.). Jedes Unterrecht liefert möglciherweise ein eingenes Event. Ist jetzt nur eine fixe Vermutung,

 

blub

[daabm 1.433]

Lass einfach mal Process Monitor mitlaufen mit nem Filter auf den Pfad einer Datei Deiner Wahl - und wundere Dich dann, was da alles an Operationen passiert, bis die Datei in Notepad offen ist :)

[Knorkator 12]

@Blub: Danke für den Hinweis.. brachte aber keine Veränderung. :)

 

@Martin: Das ist mir bewusst, ich hatte nur gehofft, dass man dies etwas besser eingrenzen kann.

Das erschwert die Zugriffsstatistik leider etwas, aber na ja.. immerhin wird der Mitarbeiter nun informiert.

 

Bei Graylog habe ich eine Grace Period eingestellt sodass für weitere Events in der folgenden Minute keine Benachrichtigung geschickt wird.

Das Hauptziel ist demnach erreicht, interessant wäre halt nur die Zugriffsstatistik um zu sehen wie oft die n Mitarbeiter pro Monat auf die Datei zugreifen.

 

Danke.