阿里云ECS Windows開啟審核功能來記錄文件刪除操作
發(fā)布時間：2018-10-21 點擊數(shù)：1335
問題描述：
Windows機器上某些文件被異常刪除，打包。懷疑入侵。如何排查。
問題解決：
1、 配置組策略
開始菜單選擇“運行”打開“組策略編輯器”
依次定位到【計算機配置】--【W(wǎng)indows設置】--【安全設置】--【高級審核策略配置】--【系統(tǒng)審核策略】--【對象訪問】，雙擊右側的【審核文件系統(tǒng)】，勾選【定義這些策略設置】及【成功】項，【失敗】項不需要打勾。
2、 添加審核目錄
右鍵單擊需要審核的文件夾，選擇【屬性】，然后切換到【安全】標簽，單擊【高級】按鈕，在新對話框中切換到【審核】標簽，添加要審核的用戶、組，在【審核項目】中勾選和刪除相關的項目。 需要審核everyone對于該文件夾和子文件夾的刪除動作，
例如，在測試環(huán)境中的C:\tmp配置如下：
右鍵單擊目錄C:\tmp,選擇【安全】->【高級】,選擇【審核】，而后添加，針對主體【everyone】, 審核高級權限中的【刪除子文件夾及文件】，【刪除】2條
此外，增加安全日志的大小，在事件查看器中，右鍵單擊安全，將日志大小設置為120512KB
3、 測試，刪除C:\tmp\testfile.txt， 隨后在安全日志找到事件ID為4646的記錄如下，顯示administrator用戶通過explorer.exe進行了操作。