splunk - ユーザー変更ファイルの報告

Question

fschange を使用して Windows 共有ディレクトリを監視していますが、期待どおりに動作しています。
どのユーザーが変更を行ったかを監視したい。どうすればこれを達成できますか？

Answer 1

Fschange は、Windows で変更を行うログインを記録しません。

Windows ネイティブ SACL を使用してこれらのファイルを監視し、Windows セキュリティ ログでオブジェクト監査イベントを監視するだけです。
SACL エントリが有効になる前に、サーバーのセキュリティ ポリシーでオブジェクト アクセスの監査を有効にします。
次に、イベント 560 から 564 および 567 のセキュリティ ログを確認します。これらは、ファイル/フォルダー アクセス、成功/失敗、ログインなどを示します。