Аудит доступа к файлам в Windows: настройка и чтение журнала
Кто удалил документ из общей папки? Кто открывал финансовый отчёт? В небольшом офисе эти вопросы часто остаются без ответа. Windows умеет записывать обращения к файлам, но по умолчанию эта функция выключена.
Аудит — не «магия» и не полноценная система слежения. Он показывает события, которые вы сами попросили записывать, и требует дисциплины: журнал переполняется быстро, а настройки легко забыть.
Как это работает
У каждого файла и папки есть список разрешений. Для аудита используется отдельный список — системный список управления доступом.
В нём указывается, какие действия и для каких пользователей нужно записывать: успешные попытки, неудачные или и те, и другие.
События попадают в журнал безопасности Windows. Просматривать их может администратор.
Шаг 1: включите политику
Без политики аудита настройки на папке не будут работать.
- Откройте редактор локальной групповой политики.
- Перейдите в «Конфигурация компьютера» → «Конфигурация Windows» → «Параметры безопасности».
- Откройте «Конфигурация расширенной политики аудита» → «Политики аудита» → «Доступ к объектам».
- Выберите «Аудит файловой системы».
- Отметьте успешные и неудачные события.
Если редактор политики недоступен, можно использовать базовую политику аудита и включить «Аудит доступа к объектам».
Примените политику и перезагрузитесь или обновите её вручную.
Шаг 2: настройте папку
- Нажмите правой кнопкой на папку и выберите «Свойства».
- Откройте вкладку «Безопасность» и нажмите «Дополнительно».
- Перейдите на вкладку «Аудит» и нажмите «Продолжить».
- Добавьте пользователя или группу.
- Выберите тип событий: успех, отказ или оба.
- Укажите, к чему применяется правило: к папке, вложенным папкам, файлам.
- Выберите действия, которые нужно записывать.
Для начала достаточно отслеживать чтение, запись и удаление. Полный набор действий создаёт слишком много событий.
Шаг 3: проверьте журнал
Откройте «Просмотр событий» → «Журналы Windows» → «Безопасность».
Ищите события с идентификаторами 4656 и 4663. Первое означает запрос доступа к объекту, второе — попытку доступа.
В событии указаны пользователь, имя объекта и тип доступа. Этого обычно достаточно, чтобы понять, кто и когда обращался к файлу.
Удаление файла может фиксироваться отдельным событием. Проверьте также события изменения прав и аудита.
Размер журнала
Журнал безопасности имеет ограниченный размер. Когда он заполняется, старые записи удаляются.
Увеличьте размер журнала, если планируете хранить события дольше. Но даже большой журнал не бесконечен.
Для долгосрочного хранения нужна выгрузка событий или централизованная система сбора. В домашних условиях это обычно избыточно.
Сколько событий появится
Аудит чтения в папке с тысячами файлов создаёт огромное количество записей. Журнал заполнится за несколько часов.
Начните с аудита записи и удаления. Чтение включайте только для небольшой папки и на ограниченное время.
Не включайте аудит на весь диск «на всякий случай»: это замедляет работу и создаёт шум.
Кто может смотреть журнал
Для просмотра журнала безопасности нужны права администратора. Обычный пользователь не увидит события.
Это значит, что аудит защищает от сотрудника, но не от администратора. Если администратор сам является нарушителем, журнал ему не помешает.
Для более серьёзной защиты нужны централизованные системы и разделение ролей.
Что аудит не делает
Он не блокирует доступ. Это инструмент наблюдения, а не защиты.
Он не восстанавливает удалённые файлы. Для этого нужны резервные копии и теневая копия.
Он не показывает содержание файлов, только факт доступа.
Практические сценарии
Общая папка в офисе: включите аудит удаления и изменения, чтобы понимать, кто испортил документ.
Папка с договорами: отслеживайте чтение и копирование, если это критично.
Домашний компьютер: аудит чаще избыточен. Достаточно отдельных учётных записей и прав доступа.
Если событий нет
Проверьте, включена ли политика и применилась ли она. Иногда требуется перезагрузка.
Убедитесь, что на папке действительно добавлено правило аудита и выбран правильный пользователь.
Проверьте, не переполнен ли журнал. Если он очистился, старые события исчезли.
Безопасность и приватность
Аудит сам по себе собирает персональные данные: кто, когда и что открывал. К этим данным должен быть доступ только у ответственного.
Не включайте слежение за личными папками сотрудников без законных оснований и уведомления.
Храните выгрузки журналов в защищённом месте и удаляйте, когда необходимость прошла.
Как хранить события
Если аудит нужен на постоянной основе, настройте выгрузку журнала. Встроенными средствами можно сохранить журнал в файл и открыть его позже.
Для небольшой организации достаточно еженедельной выгрузки и хранения в защищённой папке. Для большой нужна централизованная система, иначе события теряются при переполнении.
Не храните выгрузки на том же компьютере, который проверяете: при заражении или сбое они исчезнут вместе с системой.
Что считается доступом
Открытие файла, чтение, изменение, удаление и переименование — разные действия. В журнале они могут отображаться по-разному.
Если пользователь открыл документ и ничего не менял, это тоже доступ. Его фиксируют события чтения.
Не все программы работают одинаково: некоторые читают файл частями, создавая несколько событий. Поэтому один просмотр может дать несколько записей.
Кому это подходит
Аудит имеет смысл, когда есть общая папка и несколько пользователей. Для одного владельца ноутбука он чаще создаёт лишнюю работу.
Если вы не готовы регулярно читать журнал, включать аудит бессмысленно. События будут накапливаться и исчезать при переполнении. Хорошая практика — записывать, зачем включён аудит и кто отвечает за чтение журнала. Через месяц эти детали забываются.
FAQ
Можно ли узнать, кто скопировал файл на флешку?
Аудит может зафиксировать чтение файла, но не место назначения. Для контроля копирования нужны другие средства.
Аудит замедляет компьютер?
При большом количестве событий нагрузка заметна. Ограничьте набор отслеживаемых действий.
Сколько хранятся события?
Столько, сколько позволяет размер журнала и настройки перезаписи. По умолчанию старые события удаляются.
Можно ли включить аудит без прав администратора?
Нет. Настройка политики и просмотр журнала безопасности требуют административных прав.