Audit changement serveur fichier

Recherche :

Mot : Pseudo : Filtrer
Bas de page
Auteur	Sujet : Audit changement serveur fichier

skoizer

tripoux et tête de veau

Bonjour,

Sur un gros serveur de fichier Windows, j'ai un repertoire qui est réguliérement supprimé
J'ai activé l'audit mais vu le nombre de message, je ne peut loger que 24h.
Je cherche une script powershell a lancer tous les jours

par exemple script qui permet de me logguer les suppression, accés sur MonRepertoire depuis 1jorus

Code :

$MadateMUn = (get-date).AddDays(-1).ToString("dd/MM/yyyy hh:mm:ss" ).ToString()
$events = Get-WinEvent -FilterHashtable @{LogName="Security";ID=5145;StartTime=$MadateMUn}
foreach ($event in $events) {
Write-Host $event
Write-Host $event.Event.EventData.Data
Write-Host $event.Event.EventData.name
if ($event.Event.EventData.data -match "MonRepertoire" )
{
Write-Host $event.message
}
}

quelqu'un aurait il un exemple d'exploitation des event security ?

Message cité 1 fois

---------------
je veux tout, tout de suite, et gratuitement ! miladiou !

Publicité

albator233

Lurker inside

skoizer a écrit :

Bonjour,

Sur un gros serveur de fichier Windows, j'ai un repertoire qui est réguliérement supprimé
J'ai activé l'audit mais vu le nombre de message, je ne peut loger que 24h.
Je cherche une script powershell a lancer tous les jours

quelqu'un aurait il un exemple d'exploitation des event security ?

Augmente la taille du log Security :??:

---------------
Feed-back

Je@nb

Modérateur
Kindly give dime

Log que ce qu'il t'intéresse, exporte dans un siem

skoizer

tripoux et tête de veau

rien que ça un SIEM
80% des projets SIEM n'arrivent pas au bout et sont abandonné

notre concentrateur de log n'a plus de place. pour l'isntant nous n'avons pas prévu de mettre en place les log vers celui ci

j'ai essayé avec un filtre XML !
ce n'est pas trés pratique

<QueryList>
<Query Id="0" Path="Security">
<Select Path="Security">
*[EventData[Data[@Name='ShareName'] and (Data='\\*\ddl')]]
and
*[System[(EventID='5145')]]
and
*[EventData[Data[@Name='RelativeTargetName'] and (Data='Direction')]]
</Select>
</Query>
</QueryList>

Message cité 1 fois

---------------
je veux tout, tout de suite, et gratuitement ! miladiou !

ShonGail

En phase de calmitude ...

Si tu limites bien l'audit au seul répertoire et actions visés, tu ne dois avoir que les entrées désirées.
Et c'est donc facile à retrouver.
Je l'ai fait par le passé et avec succès.
J'ai pu confondre le coupable et arrêter de taper dans la sauvegarde

Je@nb

Modérateur
Kindly give dime

skoizer a écrit :

rien que ça un SIEM
80% des projets SIEM n'arrivent pas au bout et sont abandonné

notre concentrateur de log n'a plus de place. pour l'isntant nous n'avons pas prévu de mettre en place les log vers celui ci

j'ai essayé avec un filtre XML !
ce n'est pas trés pratique

<QueryList>
<Query Id="0" Path="Security">
<Select Path="Security">
*[EventData[Data[@Name='ShareName'] and (Data='\\*\ddl')]]
and
*[System[(EventID='5145')]]
and
*[EventData[Data[@Name='RelativeTargetName'] and (Data='Direction')]]
</Select>
</Query>
</QueryList>

Intéressant tes chiffres tu les sors d'où ?

skoizer

tripoux et tête de veau

80% de consultant / collégue
le siem est long a mettre en place. Il faut avoir la capacité pour le faire.

A la base, je veux juste recuperer quelques info sur un nas widows. Mais tu me propose un 33Tonnes pour transporter ma poigné de sable :pt1cable:
Bravo tu as un SIEM, tu es dans l’élite informatique

Message édité par skoizer le 25-11-2022 à 09:16:41

---------------
je veux tout, tout de suite, et gratuitement ! miladiou !

Ryo-Ohki

10th Rabbit

Ou juste un OIV.

Remarque 1 plus haut : augmente la taille du Security Log.

Remarque 2 : fais toi un script qui tourne à intervalle régulier (1 fois / heure) et qui surveille si ton repertoire est toujours là. Si oui, fin d'exécution. Si non, export du journal sécurité que tu pourras ensuite étudier à tête reposée.

(et ajoute une condition d'arrêt une fois la détection réalisée pour pas exporter le journal "X" fois).

---------------
The Lapin, reloaded | "Anything can happen in Formula One, and it usually does." -- Murray Walker

FORUM HardWare.fr

Systèmes & Réseaux Pro

Management du SI

Audit changement serveur fichier

Sujets relatifs
office 2021 sur serveur rds	[MDA] Quel serveur choisir ?
SNMP Trap Onduleur - Windows Serveur 2019	creer un cloud priver sous windows serveur 2022
Changement type d'ouverture de session	Serveur/Workstation DELL precision T7920 écran noir et code couleur no
Windows Server 2019, changement voix du narrateur	DNS résolution impossible sur Serveur 2012
Configuration Utilisateur Serveur SFTP - CHROOT Jail	Utilisation serveur IIS
Plus de sujets relatifs à : Audit changement serveur fichier

Page générée en 0.064 secondes