{"id":56,"date":"2012-04-11T07:04:21","date_gmt":"2012-04-11T10:04:21","guid":{"rendered":"http:\/\/binsfeld.com.br\/wp\/?p=56"},"modified":"2012-10-14T15:44:01","modified_gmt":"2012-10-14T18:44:01","slug":"auditoria-de-arquivos-no-fileserver","status":"publish","type":"post","link":"http:\/\/binsfeld.com.br\/wp\/?p=56","title":{"rendered":"Auditoria de Arquivos no Fileserver"},"content":{"rendered":"<p style=\"text-align: justify;\">O primeiro passo para realizar uma auditoria em um Windows Server \u00e9 habilit\u00e1-la e para isso crie uma GPO na OU do servidor em que ela ser\u00e1 executada ou defina-a nas pol\u00edticas locais.<\/p>\n<p style=\"text-align: justify;\"><em>Nota: Para um melhor gerenciamento \u00e9 melhor criar uma GPO, pois assim voc\u00ea pode configur\u00e1-la sem ter que logar localmente, al\u00e9m de poder ter um relat\u00f3rio do que est\u00e1 habilitado ou n\u00e3o.<\/em><\/p>\n<p style=\"text-align: justify;\"><strong>Ao criar a GPO v\u00e1 at\u00e9 a seguinte configura\u00e7\u00e3o:<\/strong> Computer Configuration (Configura\u00e7\u00e3o de Computador) &gt; Policies (Politicas) &gt; Windows Settings (Configura\u00e7\u00f5es do Windows) &gt; Security Settings (Configura\u00e7\u00e3o de Seguran\u00e7a) &gt; Local Policies (Politicas Locais) &gt; Audit Policies (Politicas de Auditoria) e clique duas vezes em \u201cAudit Object Access\u201d (Auditoria de Acesso a Objetos).<\/p>\n<p style=\"text-align: justify;\"><em>Obs: A politica acima \u00e9 para ser criada no Windows Server 2008, no 2003 o caminho \u00e9 diferente:<\/em><\/p>\n<p style=\"text-align: justify;\">Computer Configuration (Configura\u00e7\u00e3o de Computador) &gt; Windows Settings (Configura\u00e7\u00f5es do Windows) &gt; Security Settings (Configura\u00e7\u00e3o de Seguran\u00e7a) &gt; Local Policies (Politicas Locais) &gt; Audit Policies (Politicas de Auditoria) e clique duas vezes em \u201cAudit Object Access\u201d (Auditoria de Acesso a Objetos).<\/p>\n<p style=\"text-align: justify;\">Na janela que aparecer marque as op\u00e7\u00f5es \u201cSuccess\u201d (Sucesso) e \u201cFailure\u201d (Falha), isso para termos a op\u00e7\u00e3o de selecionar as op\u00e7\u00f5es de falha e sucesso na auditoria, conforme a imagem abaixo:<\/p>\n<p style=\"text-align: center;\"><a href=\"http:\/\/www.profissionaisti.com.br\/wp-content\/uploads\/2012\/04\/Defini\u00e7\u00e3oAuditoria1.png\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter size-full wp-image-21533\" title=\"Defini\u00e7\u00e3oAuditoria\" src=\"http:\/\/binsfeld.com.br\/wp\/wp-content\/uploads\/2012\/10\/Defini\u00e7\u00e3oAuditoria1.png\" alt=\"\" width=\"418\" height=\"496\" \/><\/a><\/p>\n<p style=\"text-align: justify;\">Pronto j\u00e1 habilitamos o servidor para que ele possa realizar auditorias, mas ele n\u00e3o est\u00e1 auditando nada ainda, para isso precisamos definir o que ser\u00e1 auditado. No nosso caso queremos que ele audite os acessos indevidos a pastas e os arquivos apagados com sucesso.<br \/>\nPara isso, logue com uma conta com direitos administrativos no servidor onde a auditoria foi habilitada, v\u00e1 at\u00e9 a pasta onde ela ser\u00e1 realizada e clique com o bot\u00e3o direito nela e depois em \u201cProperties\u201d (Propriedades) e ap\u00f3s na aba \u201cSecurity\u201d (Seguran\u00e7a), em seguida em Advanced (Avan\u00e7ado).<\/p>\n<p style=\"text-align: center;\"><a href=\"http:\/\/www.profissionaisti.com.br\/wp-content\/uploads\/2012\/04\/Seguran\u00e7a.png\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter size-full wp-image-21534\" title=\"Seguran\u00e7a\" src=\"http:\/\/binsfeld.com.br\/wp\/wp-content\/uploads\/2012\/10\/Seguran\u00e7a.png\" alt=\"\" width=\"364\" height=\"472\" \/><\/a><\/p>\n<p style=\"text-align: justify;\">Clique na aba \u201cAuditing\u201d (Auditoria), aparecer\u00e1 uma tela perguntando se voc\u00ea est\u00e1 logado com um usu\u00e1rio com direitos administrativos e pergunta se quer continuar, ent\u00e3o clique em continue.<\/p>\n<p style=\"text-align: center;\"><a href=\"http:\/\/www.profissionaisti.com.br\/wp-content\/uploads\/2012\/04\/Auditoria.png\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter size-full wp-image-21535\" title=\"Auditoria\" src=\"http:\/\/binsfeld.com.br\/wp\/wp-content\/uploads\/2012\/10\/Auditoria.png\" alt=\"\" width=\"562\" height=\"420\" \/><\/a><\/p>\n<p style=\"text-align: justify;\"><em>Obs: No Windows Server 2003, esse passo n\u00e3o existe.<\/em><\/p>\n<p style=\"text-align: justify;\">Na tela seguinte clique em add (adicionar) para definir as regras da auditoria, ou seja, o que deve ser auditado.<\/p>\n<p style=\"text-align: center;\"><a href=\"http:\/\/www.profissionaisti.com.br\/wp-content\/uploads\/2012\/04\/Auditoria2.png\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter size-full wp-image-21536\" title=\"Auditoria2\" src=\"http:\/\/binsfeld.com.br\/wp\/wp-content\/uploads\/2012\/10\/Auditoria2.png\" alt=\"\" width=\"562\" height=\"419\" \/><\/a><\/p>\n<p style=\"text-align: justify;\">A seguir aparecer\u00e1 uma tela pedindo qual usu\u00e1rio ser\u00e1 auditado. No nosso caso queremos que ele fa\u00e7a uma auditoria de todos os usu\u00e1rios, ent\u00e3o digite o \u201ceveryone\u201d (todos) e clique em \u201cCkeck Names\u201d (Checar nomes) e depois em OK<\/p>\n<p style=\"text-align: center;\"><a href=\"http:\/\/www.profissionaisti.com.br\/wp-content\/uploads\/2012\/04\/usu\u00e1rio.png\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter size-full wp-image-21537\" title=\"usu\u00e1rio\" src=\"http:\/\/binsfeld.com.br\/wp\/wp-content\/uploads\/2012\/10\/usu\u00e1rio.png\" alt=\"\" width=\"462\" height=\"237\" \/><\/a><\/p>\n<p style=\"text-align: justify;\">Ap\u00f3s, aparecer\u00e1 uma tela pedindo o que quer ser auditado. No nosso caso os arquivos que s\u00e3o deletados com sucesso e os arquivos com falha de leitura (sem acesso), ent\u00e3o marque a op\u00e7\u00e3o \u201cdelete\u201d na coluna \u201cSuccessfull\u201d (sucesso) e \u201cList Folder\/ Read Data\u201d (Listar Pasta \/ Ler Dados) na coluna \u201cFailed\u201d (Falha).<\/p>\n<p style=\"text-align: center;\"><a href=\"http:\/\/www.profissionaisti.com.br\/wp-content\/uploads\/2012\/04\/regrasauditoria.png\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter size-full wp-image-21538\" title=\"regrasauditoria\" src=\"http:\/\/binsfeld.com.br\/wp\/wp-content\/uploads\/2012\/10\/regrasauditoria.png\" alt=\"\" width=\"365\" height=\"465\" \/><\/a><\/p>\n<p style=\"text-align: justify;\"><em>Dica: N\u00e3o marque todas as op\u00e7\u00f5es, pois a visualiza\u00e7\u00e3o da auditoria ficar\u00e1 comprometida, isso ser\u00e1 explicado mais a frente.<\/em><\/p>\n<p style=\"text-align: justify;\">Pronto agora a auditoria j\u00e1 est\u00e1 habilitada e configurada, o pr\u00f3ximo passo \u00e9 visualizar.<\/p>\n<h4 style=\"text-align: justify;\"><strong>Visualizando os logs de auditoria<\/strong><\/h4>\n<p style=\"text-align: left;\">Agora que o seu servidor est\u00e1 preparado para auditar, como podemos visualizar os dados que necessitamos? A ferramenta \u00e9 simples de usar e todos n\u00f3s conhecemos: o Event Viewer ou Visualizador de Eventos. Com ele basta ir nos logs de seguran\u00e7a (security) para verificar o que precisamos, por\u00e9m, \u00e9 uma tarefa dif\u00edcil verificar essas informa\u00e7\u00f5es por ele, por um simples motivo que mostrarei na imagem abaixo:<\/p>\n<p style=\"text-align: center;\"><a href=\"http:\/\/www.profissionaisti.com.br\/wp-content\/uploads\/2012\/04\/eventviewer.png\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter size-full wp-image-21539\" title=\"eventviewer\" src=\"http:\/\/binsfeld.com.br\/wp\/wp-content\/uploads\/2012\/10\/eventviewer.png\" alt=\"\" width=\"518\" height=\"221\" \/><\/a><\/p>\n<p style=\"text-align: justify;\">Notaram que ele gera in\u00fameras informa\u00e7\u00f5es? At\u00e9 voc\u00ea achar o que precisa, tendo que verificar entrada por entrada para descobrir o que quer, \u00e9 chato. Se voc\u00ea j\u00e1 sabe o que procura, voc\u00ea pode fazer um filtro e ele j\u00e1 te retorna os valores desejados. No nosso caso queremos descobrir quem deletou um arquivo e quem tentou acessar um arquivo n\u00e3o permitido.<\/p>\n<p style=\"text-align: justify;\"><em>Nota: Quando foi falado acima para n\u00e3o marcar todas as op\u00e7\u00f5es foi justamente por causa das in\u00fameras informa\u00e7\u00f5es que s\u00e3o gravadas nos logs, se caso deixasse tudo habilitado seu log ia estourar rapidamente.<\/em><\/p>\n<p style=\"text-align: justify;\">Para verificar o arquivo deletado basta filtrar pelo evento 4663 e ele te informar\u00e1 quem deletou o arquivo e que horas, conforme imagem abaixo:<\/p>\n<p style=\"text-align: center;\"><a href=\"http:\/\/www.profissionaisti.com.br\/wp-content\/uploads\/2012\/04\/Delete.png\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter size-full wp-image-21540\" title=\"Delete\" src=\"http:\/\/binsfeld.com.br\/wp\/wp-content\/uploads\/2012\/10\/Delete.png\" alt=\"\" width=\"554\" height=\"409\" \/><\/a><\/p>\n<p style=\"text-align: justify;\"><em>Nota: No Windows Server 2003 o evento \u00e9 o 560.<\/em><\/p>\n<p style=\"text-align: justify;\">Neste caso o usu\u00e1rio suporte removeu o arquivo \u201cDocumento Teste\u201d no dia 07\/04 as 22:09<br \/>\nE para verificar acesso indevido, tem que filtrar dois eventos: o de n\u00famero 4656 e 5145. O primeiro fala de acesso indevido via acesso local e o segundo via rede, mas ambos d\u00e3o os mesmos detalhes como mostra a imagem abaixo:<\/p>\n<p style=\"text-align: center;\"><a href=\"http:\/\/www.profissionaisti.com.br\/wp-content\/uploads\/2012\/04\/acesso.png\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter size-full wp-image-21541\" title=\"acesso\" src=\"http:\/\/binsfeld.com.br\/wp\/wp-content\/uploads\/2012\/10\/acesso.png\" alt=\"\" width=\"551\" height=\"410\" \/><\/a><\/p>\n<p style=\"text-align: justify;\">Neste caso o usu\u00e1rio Teste2 tentou acessar a pasta teste e n\u00e3o conseguiu por n\u00e3o ter acesso.<\/p>\n<p style=\"text-align: justify;\"><em>Informa\u00e7\u00e3o contida onde est\u00e1 marcado de vermelho na imagem.<\/em><\/p>\n<p style=\"text-align: justify;\"><em>Nota: No Windows Server 2003 o evento \u00e9 o numero 560.<\/em><\/p>\n<p style=\"text-align: justify;\"><em>Nota: Tanto no Windows Server 2008 quanto no 2003 a auditoria apresenta em falha.<\/em><\/p>\n<p style=\"text-align: justify;\">Isso \u00e9 uma forma de voc\u00ea visualizar, a outra \u00e9 atrav\u00e9s do Powershell. \u00c9 prefer\u00edvel us\u00e1-lo quando quer colocar em um relat\u00f3rio. Fica bem mais simples, pois voc\u00ea pode transformar a sa\u00edda em um HTML.<\/p>\n<p style=\"text-align: justify;\">Abaixo segue os dois scripts em powershell para os nossos dois casos:<\/p>\n<p style=\"text-align: justify;\"><span style=\"text-decoration: underline;\"><strong>Arquivo deletado<\/strong><\/span><br \/>\n<strong>Windows Server 2008<\/strong><\/p>\n<p style=\"text-align: justify;\"><em>$a = get-eventlog -logname security -instanceid 4663 |convertto-html -property timegenerated, message<\/em><br \/>\n<em> $a = $a| foreach-object {$_ -replace \u201c\u201d, \u201c\u201d}<\/em><\/p>\n<p style=\"text-align: justify;\"><em> $a|Out-File \u201clocal do arquivo HTML\u201d<\/em><\/p>\n<p style=\"text-align: justify;\">Na primeira linha do script ele coleta as informa\u00e7\u00f5es dos eventos de seguran\u00e7a onde o eventID \u00e9 4663 e converte a sa\u00edda para HTML armazenando somente a Hora Gerada e a Mensagem e coloca o resultado na vari\u00e1vel $a.<\/p>\n<p style=\"text-align: justify;\">Na segunda linha ele pega a vari\u00e1vel $a e procura pela tag HTML. Ao ach\u00e1-la ele troca colocando uma borda nela. (Essa parte \u00e9 importante pois ao converter a sa\u00edda do comando para HTML ele vem sem borda e a visualiza\u00e7\u00e3o no arquivo fica ruim.) Na terceira linha o resultado dentro de $a \u00e9 gravado dentro de um arquivo. (Onde est\u00e1 escrito \u201clocal do arquivo HTML\u201d coloque o local onde quer armazenar o arquivo, por exemplo \u2018C:\\resultado\\auditoria.html\u201d<\/p>\n<p style=\"text-align: justify;\"><strong>Windows Server 2003<\/strong><\/p>\n<p style=\"text-align: justify;\"><em>$a = get-eventlog -logname security -instanceid 560 \u2013message \u201c*Delete*\u201d |convertto-html -property timegenerated, message<\/em><br \/>\n<em>$a = $a| foreach-object {$_ -replace \u201c\u201d, \u201c\u201d}<\/em><\/p>\n<p style=\"text-align: justify;\"><em> $a|Out-File \u201clocal do arquivo HTML\u201d<\/em><\/p>\n<p style=\"text-align: justify;\">Na primeira linha do script ele coleta as informa\u00e7\u00f5es dos eventos de seguran\u00e7a onde o eventID \u00e9 56o e a mensagem do evento possui a palavra Delete e converte a sa\u00edda para HTML armazenando somente a Hora Gerada e a Mensagem e coloca o resultado na vari\u00e1vel $a.<\/p>\n<p style=\"text-align: justify;\">Na segunda linha e terceira linha \u00e9 a mesma coisa do outro script acima.<\/p>\n<p style=\"text-align: justify;\"><span style=\"text-decoration: underline;\"><strong>Acesso indevido<\/strong><\/span><br \/>\n<strong>Windows Server 2008<\/strong><\/p>\n<p style=\"text-align: justify;\"><em>$a = get-eventlog -logname security -entrytype failureaudit -message \u201c*file*\u201d |convertto-html -property timegenerated, message<\/em><br \/>\n<em>$a = $a| foreach-object {$_ -replace \u201c\u201d, \u201c\u201d}<\/em><\/p>\n<p style=\"text-align: justify;\"><em> $a|Out-File \u201clocal do arquivo HTML\u201d<\/em><\/p>\n<p style=\"text-align: justify;\">Na primeira linha do script ele coleta as informa\u00e7\u00f5es dos eventos de seguran\u00e7a onde os tipos s\u00e3o Falhas de Auditoria e na mensagem existe a palavra \u201cfile\u201d (comum em ambos os eventos falados acima) e converte a sa\u00edda para HTML armazenando somente a Hora Gerada e a Mensagem e coloca o resultado na vari\u00e1vel $a.<\/p>\n<p style=\"text-align: justify;\"><strong>Windows Server 2003<\/strong><\/p>\n<p style=\"text-align: justify;\"><em>$a = get-eventlog -logname security -entrytype failureaudit \u2013instanceid 560 |convertto-html -property timegenerated, message<\/em><br \/>\n<em>$a = $a| foreach-object {$_ -replace \u201c\u201d, \u201c\u201d}<\/em><\/p>\n<p style=\"text-align: justify;\"><em> $a|Out-File \u201clocal do arquivo HTML\u201d<\/em><\/p>\n<p style=\"text-align: justify;\">Na primeira linha do script ele coleta as informa\u00e7\u00f5es dos eventos de seguran\u00e7a onde os tipos s\u00e3o Falhas de Auditoria e o eventID \u00e9 o 560 e converte a sa\u00edda para HTML armazenando somente a Hora Gerada e a Mensagem e coloca o resultado na vari\u00e1vel $a.<\/p>\n<p style=\"text-align: justify;\">Na segunda linha e terceira linha de ambos \u00e9 a mesma coisa do script de arquivo deletado.<\/p>\n<p style=\"text-align: justify;\"><span style=\"text-decoration: underline;\">Lembre-se: Para criar um script em Powershell voc\u00ea tem que salvar o arquivo com a extens\u00e3o .ps1.<\/span><\/p>\n<p style=\"text-align: justify;\"><em>Nota: Geralmente os scripts de powershell n\u00e3o s\u00e3o habilitados para execu\u00e7\u00e3o por padr\u00e3o para isso antes de executar os scripts acima, rode o comando Set-ExecutionPolicy Unrestricted<\/em><\/p>\n<p style=\"text-align: justify;\"><span style=\"text-decoration: underline;\"><em>Lembrete: O Powershell na vem instalado no Windows Server 2003, para isso tem que baixar e instalar o mesmo.<\/em><\/span><\/p>\n<p style=\"text-align: justify;\">Com isso verificamos como habilitar e configurar uma auditoria no Windows Server 2003 e 2008 e verificarmos como anda o acesso a arquivos em nossa rede, por\u00e9m a auditoria de arquivos \u00e9 somente uma parte das ferramentas de auditoria no Windows, existem outras tais como a auditoria de logon em m\u00e1quina, para mais informa\u00e7\u00f5es acesso o link: http:\/\/technet.microsoft.com\/pt-br\/library\/cc779526(v=ws.10).aspx<\/p>\n<p>Cr\u00e9ditos : http:\/\/www.profissionaisti.com.br\/2012\/04\/auditoria-como-o-windows-server-pode-te-ajudar\/<\/p>\n","protected":false},"excerpt":{"rendered":"<p>O primeiro passo para realizar uma auditoria em um Windows Server \u00e9 habilit\u00e1-la e para isso crie uma GPO na OU do servidor em que ela ser\u00e1 executada ou defina-a<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-56","post","type-post","status-publish","format-standard","hentry","category-windows-server"],"_links":{"self":[{"href":"http:\/\/binsfeld.com.br\/wp\/index.php?rest_route=\/wp\/v2\/posts\/56"}],"collection":[{"href":"http:\/\/binsfeld.com.br\/wp\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/binsfeld.com.br\/wp\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/binsfeld.com.br\/wp\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"http:\/\/binsfeld.com.br\/wp\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=56"}],"version-history":[{"count":9,"href":"http:\/\/binsfeld.com.br\/wp\/index.php?rest_route=\/wp\/v2\/posts\/56\/revisions"}],"predecessor-version":[{"id":64,"href":"http:\/\/binsfeld.com.br\/wp\/index.php?rest_route=\/wp\/v2\/posts\/56\/revisions\/64"}],"wp:attachment":[{"href":"http:\/\/binsfeld.com.br\/wp\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=56"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/binsfeld.com.br\/wp\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=56"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/binsfeld.com.br\/wp\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=56"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}