Plötzlich und wahllos werden Ordner verschoben

[strobelight 10]

hi,

 

ich kämpfe gerade mit dem phänomen, dass auf unserem server einfach von userdaten willkürlich ordner und dateien verschoben werden (oder verknüpfungen werden erstellt).

 

Virenscanner hat nix gefunden und nachvollziehen kann ich das ganze auch nicht.

 

Habe nun eine zugriff protokollierung (audit) eingestellt um den übeltäter zu finden, falls es nicht eine bösartige software ist.

 

Hat wer noch einen rat, wie man dem herr werden kann?

[Bluesmen 10]

Ich denke mit dem Audit bist du schon mal auf dem richtigen Weg. Schätze da treibt ein User sein Unwesen :o

 

Gruß

[overlord 10]

hi und ein willkommen im board!

is ja ne seltsame sache.

- einmalige aktion?

- um was für files/ordner handelt es sich denn? userdaten auf ner freigabe?

-> kann das verschieben vom user kommen (dragndrop)?

 

beobachte mal das log!

[micha42 29]

Beim Verschieben wird der oberste Ordner neu erstellt. Prüf mal den Besitzer der verschobenen Ordner (oberste Ebene).

Dadurch habe ich bei solchen Vorfällen immer den "Schuldigen" gefunden. "ich habe nix gemacht" war zumeißt die Ansage bis zum Präsentieren der "Beweise". Danach war das temporäre Alsheimern immer geheilt. "ja, da war was..."

M

[strobelight 10]

also einmalig war das ganze nicht.

drag & drop ist denke ich mal möglich, mal isses das verknüpfungen gemacht werden mal fehlen irgentwo seltsamerweise unsystematisch folders and files.

[micha42 29]

&? (und?)

Was sagt das Audit? Was ist mit den Besitzern?

Wenn Du jetzt weitere Informationen schreibst, können wir auch mit denken. Ansonsten müssten wir raten und das macht keinen Sinn.

Michael

[strobelight 10]

also die besitzer sind immer noch die gleichen.... das wundert mich

im audit kann ich nix finden, das mir weiterhilft

[micha42 29]

Das wundert mich. Wie machst Du das Audit? Welches OS? Dateiüberwachung muß man an zwei Stellen aktivieren.

guck mal hier: http://www.mcseboard.de/showthread.php?t=66897&highlight=%FCberwachung

[strobelight 10]

danke für die info !

ich hab nur die Überwachungsrichtlinie "Objektzugriffsversuche überwachen" aktiviert

 

nun werd ich es mal auf den ordner beziehen