Trackback http://gnaw0725.blogbus.com/logs/7852694.html
文件服務器如何啟動日志功能知道刪除移動是誰干的？文件服務器如何啟動日志功能,可以詳細記錄每個用戶和連接的讀取\運行\(zhòng)寫入的各類記錄。用戶通過映射盤訪問服務器上的文件夾，每層文件夾都有不同的權限控制，因為服務器上經常有文件夾被刪除或移動，現(xiàn)在我想知道是誰干的，還有時間，有沒有什么方案可以實現(xiàn)，環(huán)境：win2003server ad client：xp。由于我的文件服務器所處環(huán)境是非域網絡環(huán)境,希望能詳細了解 本地策略 審核策略的設置辦法和方案.以及其對文件訪問的影響程度?
回答：根據(jù)我的研究，如果您希望記錄文件服務器上文件夾或文件的被用戶執(zhí)行的操作，可以通過應用或修改文件服務器上文件或文件夾的審核策略設置來實現(xiàn)。具體的設置方法如下：
1. 打開 Windows 資源管理器。
2. 右鍵單擊要審核的文件或文件夾，單擊“屬性”，然后單擊“安全”選項卡。
3. 單擊“高級”，然后單擊“審核”選項卡。
4. 要設置新用戶或組的審核，請單擊“添加”。在“輸入要選擇的對象名稱”中，鍵入想要的用戶或組的名稱，然后單擊“確定”。
5. 在“應用于”框中單擊希望進行審核的位置。
6. 在“訪問”框中，通過選中適當?shù)膹瓦x框，指出您想要審核的操作：
7. 如果要防止原始對象的后續(xù)文件和子文件夾繼承這些審核項，請選中“將這些審核項目只應用到這個容器中的對象和/或容器上”復選框。
注意：設置文件和文件夾的審核前，必須通過為對象訪問事件類別定義審核策略設置，來啟用對象訪問審核。如果不啟用對象訪問審核，在設置文件和文件夾的審核時，將收到錯誤消息且不會審核任何文件或文件夾。
更多信息請您參考以下文章：
應用或修改本地文件或文件夾的審核策略設置
http://www.microsoft.com/technet/prodtechnol/windowsserver2003/zh-chs/library/ServerHelp/ecf63dcf-17e7-4279-91ff-beb11bd0d688.mspx?mfr=true
根據(jù)我的研究，開始審核策略并不會對用戶訪問共享文件夾速度造成影響。具體應用或修改本地文件或文件夾的審核策略設置方法如下：
1. 打開 Windows 資源管理器。
2. 右鍵單擊要審核的文件或文件夾，單擊“屬性”，然后單擊“安全”選項卡。
3. 單擊“高級”，然后單擊“審核”選項卡。
4. 要設置新用戶或組的審核，請單擊“添加”。在“輸入要選擇的對象名稱”中，鍵入想要的用戶或組的名稱，然后單擊“確定”。
5. 在“應用于”框中單擊希望進行審核的位置。
6. 在“訪問”框中，通過選中適當?shù)膹瓦x框，指出您想要審核的操作：
7. 如果要防止原始對象的后續(xù)文件和子文件夾繼承這些審核項，請選中“將這些審核項目只應用到這個容器中的對象和/或容器上”復選框。
注意：設置文件和文件夾的審核前，必須通過為對象訪問事件類別定義審核策略設置，來啟用對象訪問審核。如果不啟用對象訪問審核，在設置文件和文件夾的審核時，將收到錯誤消息且不會審核任何文件或文件夾。
更多信息請您參考以下文章：
應用或修改本地文件或文件夾的審核策略設置
http://www.microsoft.com/technet/prodtechnol/windowsserver2003/zh-chs/library/ServerHelp/ecf63dcf-17e7-4279-91ff-beb11bd0d688.mspx?mfr=true
關于審核日志記錄問題，請您檢查516事件的出現(xiàn)頻率，以及是否出現(xiàn)560事件。如果您的操作系統(tǒng)為64為的Windows Server 2003，同時出現(xiàn)560事件的話，請您參考以下文章進行排錯：
An "event ID 516" audit record may be incorrectly logged when an access attempt to a named pipe occurs in Windows Server 2003 or in Windows XP
http://support.microsoft.com/kb/922769/en-us
Tom Zhang 張一平 在線技術支持工程師 微軟全球技術支持中心
用安全性審核的方法，的確是很實時，但不太實用。日志量太大，目前在windows 2003 上的日志過濾功能不是很好，即便用第三方的工具過濾也不是很容易。（如果您考慮使用第三方工具進行日志過濾，可以嘗試 GFI EventsManager http://www.gfi.com/adentry.asp?adv=165&loc=16，但任何日志過濾工具的使用都不可能一蹴而就的滿足管理員需求，需要經過不斷的調整，這個調整過程將會伴隨整個管理生命周期）
關于更多文件服務器的文章請參考：
2003文件服務器配置設置管理活動目錄ActiveDirectory域SEO2000|2003 ...
活動目錄域: 文件服務器上的共享文件夾打開特慢ActiveDirectory域 ...
活動目錄域: 文件服務器windows2003如何防止文件被拷貝ActiveDirectory ...
活動目錄域: 文件服務器不建議放在域控制器上ActiveDirectory域SEO2000 ...
－－－gnaw0725
在服務器上進"本機安全原則","稽核物件存取"設定成"成功",然后到要稽核的共用資料夾上,右鍵內容,"安全性""高級""稽核"
一項加入USER,選取要稽核的項目如:刪除,刪除子資料夾及檔案..等等.
然后到系統(tǒng)事件的安全性中去查看即可,不過里面的事件太多(就稽核這一項),要查也比較費時.
