Auditoría de archivos y carpetas en Windows Server 2003 y 2008

La auditoría de archivos y carpetas se volvió mucho más fácil con la auditoría de acceso global a objetos en Windows Server 2008 R2 y Windows 7. Sin embargo, si su organización todavía ejecuta Windows Server 2008 o una versión anterior, por ejemplo Windows Server 2003, será necesario configurar la auditoría de archivos y carpetas. un poco más complicado. En esta publicación, lo guiaré a través de los pasos necesarios para configurar versiones anteriores de Windows Server para la auditoría de archivos y carpetas.

La auditoría de archivos y carpetas no está habilitada de fábrica en Windows Server, por lo que el primer paso es activarla mediante la política local o de grupo. Si tiene Active Directory (AD), se puede utilizar un objeto de política de grupo (GPO) para habilitar la auditoría de acceso a objetos. Si desea habilitar la auditoría en un solo dispositivo, entonces se puede habilitar la misma configuración en la política local.

Habilitación de la auditoría de todos los dispositivos del dominio en Windows Server 2003 y 2008

En este ejemplo, agregaré la configuración de auditoría a la Política de dominio predeterminada, que permitirá la auditoría en todos los dispositivos del dominio, incluidos los servidores de archivos donde se almacenan sus archivos y carpetas. En un entorno de producción, debe crear un nuevo GPO y aplicarlo a una unidad organizativa (OU).

Antes de comenzar, asegúrese de que la Consola de políticas de administración de grupo (GPMC) esté instalada en al menos un servidor. Descargue GPMC aquí para Windows Server 2003. Windows Server 2008 incluye GPMC, pero no está instalado de forma predeterminada. Instálelo abriendo un símbolo del sistema y ejecutando el siguiente comando del Administrador del servidor:

ServerManagerCmd -instalar gpmc

Una vez instalada GPMC, siga las instrucciones a continuación:

• Inicie sesión en un servidor como administrador de dominio y abra la Consola de administración de políticas de grupo (GPMC). Escriba msc en el cuadro de diálogo Ejecutar y haga clic en Aceptar.
• En Administración de políticas de grupo, expanda su bosque de AD, Dominios y su dominio.
• Haga clic derecho en el GPO Política de dominio predeterminada y seleccione Editar en el menú.
• En la ventana Editor de administración de políticas de grupo, en el panel izquierdo bajo Configuración del equipo, expanda Políticas > Configuración de Windows > Configuración de seguridad > > Políticas locales > Políticas de auditoría y haga clic en Auditar acceso a objetos.
• En el cuadro de diálogo Auditar acceso a objetos Propiedades, marque Éxito y Error según sea necesario y luego haga clic en Aceptar .
• Cierre la Consola de administración de políticas de grupo.

La próxima vez que se actualice la política de grupo en los dispositivos dentro del alcance del GPO, se aplicará la configuración de auditoría que configuró en la política anterior.

Configuración de auditoría de archivos y carpetas

Habilitar la configuración Acceso a objetos de auditoría no es suficiente para que la auditoría funcione. También debe configurar la Lista de control de acceso al sistema (SACL) de cada objeto que desee auditar. En este ejemplo, habilitaremos la auditoría de una carpeta.

• Haga clic derecho en la carpeta en la que desea habilitar la auditoría y seleccione Propiedades en el menú contextual.
• Cambie a la pestaña Seguridad en Propiedades.
• Haga clic en Avanzado en Seguridad.
• Cambie a Auditoría
• En la pestaña Auditoría, escriba el nombre del usuario o grupo cuyo acceso a la carpeta desea auditar en el cuadro Ingrese el nombre del objeto para seleccionar y haga clic en Está bien.
• Marque Exitoso y Error según sea necesario en el cuadro de diálogo de seguridad para las acciones que desea auditar y, cuando haya terminado, haga clic en Aceptar. .
• Cierre todos los cuadros de diálogo abiertos.

Los eventos de auditoría ahora comenzarán a aparecer en el registro de Seguridad en el Visor de eventos, incluyendo:

En Windows Server 2008, el ID de evento 4663 puede indicar diferentes tipos de eventos, incluida la propiedad del archivo tomado, la lectura genérica del archivo y la ACL de los archivos modificados.