Kiểm tra chia sẻ tệp bằng nhật ký bảo mật Windows

Trong những năm qua, quản trị viên bảo mật đã nhiều lần hỏi tôi cách kiểm tra việc chia sẻ tệp trong Windows. Cho đến Windows Server 2008, không có sự kiện cụ thể nào cho việc chia sẻ tệp. Điều tốt nhất chúng tôi có thể làm là cho phép kiểm tra khóa đăng ký nơi chia sẻ được xác định. Nhưng trong Windows Server 2008 trở lên, có hai danh mục con mới dành cho các sự kiện liên quan đến chia sẻ:

• Chia sẻ tệp
• Chia sẻ tệp chi tiết

Sự kiện chia sẻ tệp

Danh mục con này cho phép bạn theo dõi việc tạo, sửa đổi và xóa các thư mục dùng chung (xem bảng bên dưới). Bạn có ID sự kiện khác nhau cho mỗi thao tác trong số ba thao tác đó. Các sự kiện cho biết ai đã thực hiện thay đổi trong trường Chủ đề, và cung cấp tên mà người dùng chia sẻ nhìn thấy khi duyệt mạng cũng như bản vá cho thư mục hệ thống tệp được chia sẻ cung cấp. Xem ví dụ về ID sự kiện 5142 bên dưới.

Một đối tượng chia sẻ mạng đã được thêm vào.

Chủ đề:
ID bảo mật: W8R2wsmith
Tên tài khoản: wsmith
Miền tài khoản: W8R2
ID đăng nhập: 0x475b7

Chia sẻ thông tin:
Tên chia sẻ: \*AcmeAccounting
Đường dẫn chia sẻ: C:AcmeAccounting

Tin xấu là danh mục con cũng tạo ra ID sự kiện 5140 mỗi khi người dùng kết nối với một nội dung chia sẻ. Dữ liệu được ghi lại, bao gồm cả những người đã truy cập nó và địa chỉ IP khách hàng của họ đều tốt, nhưng sự kiện được ghi lại quá thường xuyên. Vì Windows không duy trì hoạt động của các phiên đăng nhập mạng nếu không có tệp nào được mở nên bạn sẽ có xu hướng thấy sự kiện này thường xuyên nếu bật danh mục con kiểm tra “Chia sẻ tệp”. Không có cách nào để định cấu hình Windows để chỉ tạo ra các sự kiện thay đổi chia sẻ chứ không phải sự kiện truy cập này. Tất nhiên, đó là mục đích của nền tảng quản lý nhật ký và SIEM, cốt lõi của Netsurion Open XDR, giúp lọc tiếng ồn.

5140

Một đối tượng chia sẻ mạng đã được truy cập

5142

Một đối tượng chia sẻ mạng đã được thêm vào.

5143

Đối tượng chia sẻ mạng đã được sửa đổi

5144

Đối tượng chia sẻ mạng đã bị xóa.

Sự kiện chia sẻ tệp chi tiết

ID sự kiện 5140, như đã thảo luận ở trên, nhằm ghi lại từng kết nối với một mạng chia sẻ và do đó, nó không ghi lại tên của các tệp được truy cập thông qua kết nối chia sẻ đó. Danh mục phụ kiểm tra “Chia sẻ tệp chi tiết” cung cấp cấp thông tin thấp hơn này chỉ với một ID sự kiện - 5145 - được hiển thị bên dưới.

Một đối tượng chia sẻ mạng đã được kiểm tra để xem liệu máy khách có thể được cấp quyền truy cập mong muốn hay không.

Chủ đề:
ID bảo mật: HỆ THỐNG
Tên tài khoản: WIN-KOSWZXC03L0$
Miền tài khoản: W8R2
ID đăng nhập: 0x86d584

Thông tin mạng:
Loại đối tượng: Tệp
Địa chỉ nguồn: fe80::507a:5bf7:2a72:c046
Cổng nguồn: 55490

Thông tin chia sẻ:
Tên chia sẻ: \*SYSVOL
Đường dẫn chia sẻ: ??C:WindowsSYSVOLsysvol
Tên mục tiêu tương đối: w8r2.comPolicies{6AC1786C-016F-11D2-945F-00C04fB984F9}MachineMicrosoftWindows NTAuditaudit.csv

Thông tin yêu cầu truy cập:
Mặt nạ truy cập: 0x120089
Truy cập: READ_Control
SYNCHRONIZE
ReadData (hoặc ListDirectory)
ReadEA
ReadAttribution

Kết quả kiểm tra quyền truy cập:
READ_Control: Được cấp bởi quyền sở hữu
SYNCHRONIZE: Được cấp bởi D:(A;;0x1200a9;;;WD)
ReadData (hoặc ListDirectory): Được cấp bởi D:(A;;0x1200a9; ;;WD)
ReadEA: Cấp bởi D:(A;;0x1200a9;;;WD)
ReadAttribution: Cấp bởi D:(A;;0x1200a9;;;WD)

Sự kiện này cho biết thông tin nhận dạng người dùng (Trường chủ đề), địa chỉ IP của người dùng (Thông tin mạng), nội dung chia sẻ và tệp thực tế được truy cập thông qua nội dung chia sẻ (Thông tin chia sẻ), sau đó cung cấp các quyền được yêu cầu cũng như kết quả của yêu cầu truy cập. Sự kiện này thực sự ghi lại nỗ lực truy cập và cho phép bạn xem các phiên bản lỗi của sự kiện cũng như các sự kiện thành công.

Hãy cẩn thận khi bật danh mục con kiểm tra này vì bạn sẽ nhận được một sự kiện cho mọi tệp được truy cập thông qua mạng chia sẻ mỗi khi ứng dụng mở tệp. Điều này có thể xảy ra thường xuyên hơn mức tưởng tượng đối với một số ứng dụng như Microsoft Office. Ngược lại, hãy nhớ rằng danh mục này sẽ không phát hiện được các nỗ lực truy cập vào cùng một tệp nếu ứng dụng thực thi cục bộ truy cập tệp qua bản vá cục bộ (ví dụ: c:docsfile.txt) thay vì qua bản vá.

Bạn cũng có thể muốn xem xét việc bật kiểm tra trên từng thư mục chứa các tệp quan trọng và sử dụng danh mục con Hệ thống tệp. Phương pháp này cho phép bạn chọn lọc hơn nhiều về ai, tệp nào và loại quyền truy cập nào được kiểm tra.

Đối với hầu hết các tổ chức, hãy bật danh mục con Chia sẻ tệp nếu điều quan trọng đối với bạn là biết khi nào các thư mục mới được chia sẻ. Có thể bạn sẽ muốn lọc ra 5140 lần xuất hiện. Sau đó, nếu bạn có nhu cầu kiểm tra cấp độ tệp, hãy bật danh mục con Truy cập tệp, xác định chính xác các thư mục chứa các tệp liên quan và bật kiểm tra các thư mục đó cho các thao tác cụ thể (ví dụ: Đọc, Viết, Xóa) cần thiết để đáp ứng yêu cầu kiểm tra của bạn. Không bật danh mục con kiểm tra Chia sẻ tệp chi tiết trừ khi bạn thực sự muốn có sự kiện cho mọi quyền truy cập vào mọi tệp qua chia sẻ mạng.