Административный доступ к локальным дискам - Форум по вопросам информационной безопасности

Доброго времени суток! Прошу помочь, суть проблемы:
в довольно крупной компьютерной сети есть несколько администраторов, как можно отследить кто из них когда и к какому АРМ получал административный доступ к локальным дискам (\\...\c$). Если это отражается журнале, то подскажите в каком и код события. Спасибо!

В Windows Vista(Server 2008) и выше идём в редактор групповой политики - Конфигурация компьютера - Конфигурация Windows - Параметры безопасности - Конфигурация расширенной политики аудита - Политика аудита системы - Доступ к объектам и там настраиваем параметр "Аудит общих папок". При включении данного аудита в журнал безопасности Windows будут записываться события доступа (успешные и не успешные, в зависимости от того как настроите) ко всем общим папкам, в том числе и для административных общих ресурсов. Отдельно для какой-либо папки настроить нельзя, так как у сетевых папок нет SACL.

В Windows XP (Sever 2003) и ниже так настроить не получится, там нет расширенных политик аудита... Если только какими-нибудь наложенными средствами.

Теймур, большое спасибо за развернутый ответ! К мою великому сожалению используется именно Server 2003...

Можно ещё немного "схитрить", но это не совсем то, что вам нужно... Доступ к общим папка осуществляется по протоколу SMB... SMB может работать через NEtBios или без него непосредственно поверх TCP/IP. В вашем случае с вероятностью 99 % SMB работает поверх TCP/IP. Порт сервера 445/tcp. Можете настроить брандмауэр Windows на логирование всех подключений к данному порту. Потом будете периодически просматривать логи и искать доступ с IP адресов машин администраторов

Теймур, еще раз огромное спасибо за информацию! Самое то, сегодня же попробуем реализовать!