Aide en ligne watchDirectory > Extensions > Auditer les répertoires Windows
Auditer les répertoires Windows - Qui fait Quoi?
Vous devrez configurer Windows pour écrire les informations d'audit dans le journal de sécurité, sinon watchDirectory ne retrouvera pas les informations d'audit.
Paramétrages de cette extension
Système d'exploitation de l'ordinateur surveillé ("Operating system of monitored computer")
Choisissez le sysètme d'exploitation de l'ordinateur que vous surveillez. Cette extension lit et interprète le journal Sécurité
et les évènements enregistrés sont dépendants de la version du système d'exploitation. L'extension utilise des fichiers de format("mapping files") pour traiter correctement
le journal d'évènements des différents systèmes d'exploitation. Si votre système d'exploitation n'est pas dans la liste, merci d'essayer un système d'exploitation
de la liste. Si aucun ne fonctionne, voir comment demander un nouveau fichier de format.
Pour certains systèmes de fichiers, Windows écrira les informations d'audit dans le journal Sécurité avec un nom de fichier différent Par exemple, si vous surveillez le répertoire \\Server\Share\SomeDir, l'informmation dans le journal sécurité sera souvent sous la forme C:\SharedDirectory\SomeDir. Pour être sûr que watchDirectory trouevra l'entrée correcte du journal de sécurité, watchDirectory a besoin de connaître le bon préfixe de chemin ("Path Prefix").
Si vous pressez le bouton "Assistant", watchDirectory vous aidera à trouver le bon préfixe de chemin.
écrire des rapports d'audit dans ce répertoire ("Write audit reports to this directory")
Siasissez le nom d'un répertoire existant dans lequel watchDirectory écrira ses rapports d'audit.
Les rapports que watchDirectory écrit ont un nom comme "event_567_filename.txt".
567 est un numéro incrémental géré par watchDirectory, correspondant à l'Event-Id danns le Suivi des Tâches ("Task History").
"filename" est le nom du fichier concerné par le rapport d'audit.
Créer un fichier CSV avec ce nom ("Create a CSV file with this name")
De plus, vous pouvez laisser watchDirectory créer un fichier CSV (texte séparé par des virgules) avec tous les évènements.
Pressez le bouton Configurer ("Configure") pour choisir les champs qui seront écrits danns ce fichier CSV.
Envoyer ces rapports par email ("Email those reports to me")
Vous pouvez demander à watchDirectory de vous envoyer les rapports d'audit.
Adresses Email ("Email address")
Saisissez l'adresse Email qui recevra ces rapports. Vous pouvez saisir les adresses dans les formats suivants :
- <john@doe.com>
Juste une adresse email - John Doe<john@doe.com>
Une adresse email avec un nom de présentation - <john@doe.com>;<mary@doe.com>
Plusieurs adresses, séparées par un point-virgule (";")
Sujet de l'Email ("Subject Email")
Le sujet utilisé pour les Emails d'alerte. Si vous choisissez d'envoyer des alertees pour chaque évènement immédiatement, le nom du fichier
sera ajouté à ce sujet.
Envoyer les rapports ("Send reports")
Choisissez la fréquence d'envoi des rapports d'audit.
Veuilllez noter que cette extension utilise le programme wdPostMan pour envoyer les emails en arrière plan. Vous aurez besoin de configurer le programme wdPostMan au préalable.
Exemple de rapport d'audit
File/Directory C:\WUTemp\Disasm.log from 7/24/2005 10:41:31 AM to 7/24/2005 10:41:31 AM [2036] 7/24/2005 10:41:31 AM, Open File by GDPLAP\\Jeremy. Program C:\WINDOWS\explorer.exe. Permissions requested Delete, Read Attributes [2036] 7/24/2005 10:41:31 AM, Used a granted permission. Permission used Delete [2036] 7/24/2005 10:41:31 AM, Delete [2036] 7/24/2005 10:41:31 AM, Close
Les 2 premières lignes identifient le fichier (C:\WUTemp\Disasm.log) et la péridoe du rapport.
Les lignes suivantes commencent toutes avec le numéro de processus d'une opération de fichier entre crochets ([]). Il doit normalement
commencer avec une opération d'ouverture ("Open") qui vous dira Qui accède le fichier. Dans ce cas, c'était Jeremy depuis la mcahine GDPLAP.
Il est suivi par le programme utilisé pour l'ouverture (explorer), et les permissions demandées par le programme.
Les lignes suivantes l'opération d'ouverture sont indentées jusqu'à l'opération de fermeture correspondante ("Close").
