Perguntas frequentes do 10-Strike Connection Monitor

Envie as suas perguntas à equipe de suporte.

Como monitorar a exclusão e a criação de arquivos? O arquivo de log do programa não tem registros desses eventos.

O programa não mostra o nome das pessoas (nem o nome do computador) que excluíram ou criaram arquivos. Por quê? Preciso saber quem excluiu o meu arquivo.

Os nomes de quem excluiu ou criou um arquivo na pasta não são detectados. Como corrigir?

Incluí um usuário na lista negra, mas ele ainda lê as minhas pastas. Por quê?

How to disable access to the system hidden shares (when all disks are shared for administrators – c$, d$, admin$, etc.)? I am trying to disable it in Explorer folder properties but they appear again after a reboot.

Não consigo configurar os avisos por e-mail. Qual endereço de servidor SMTP devo informar? Para que servem essas portas? O que é o endereço do remetente?

Uso a versão Pro e configurei o monitoramento de criação e exclusão de arquivos em um compartilhamento de rede. Informei o caminho da pasta assim: "\\Server\Folder\". Às vezes vejo os avisos na tela, mas o log de alertas fica vazio e nenhum e-mail chega. Por quê?

Às vezes vejo o computador ::1 na lista de acesso. O que é isso?

O programa fica lento e não responde com um grande número de conexões simultâneas de usuários aos compartilhamentos. O que fazer?

P: Como monitorar a exclusão e a criação de arquivos? O arquivo de log do programa não tem registros desses eventos.

R: A exclusão de arquivos e pastas pode ser detectada, mas o recurso não vem ligado. Configure o alerta de criação/exclusão da pasta monitorada. Para saber quem excluiu ou criou um arquivo em um compartilhamento, ligue a auditoria de acesso ao compartilhamento no sistema. Saiba mais...

O programa também detecta a exclusão feita por um usuário local.

Para ligar a exclusão e a criação de arquivos:

• Clique em “Alerts” na janela principal do programa.
• Clique em "Add" na janela "Alert".
• Selecione "File deletion/creation" na lista de eventos.
• Informe a pasta monitorada, configure os parâmetros do alerta e ligue a auditoria do compartilhamento.
• Repita esses passos nos outros compartilhamentos, se precisar.

Se o monitoramento de exclusão e criação estiver ligado e não funcionar na versão Pro, leia este tópico.

P: O programa não mostra o nome das pessoas (nem o nome do computador) que excluíram ou criaram arquivos. Por quê? Preciso saber quem excluiu o meu arquivo.

R: Veja a pergunta acima. Esse monitoramento entrou na versão 4.9.

P: Os nomes de quem excluiu ou criou um arquivo na pasta não são detectados. Como corrigir?

R: O programa obtém esses nomes só pelos eventos do Event Log do Windows. Para a informação aparecer lá, configure a auditoria da pasta que você monitora. Se os nomes desses eventos ainda não aparecerem no log, tente o seguinte:

1. Desligue outras fontes de entradas no log "Security" do Event Log do Windows. Isso reduz a carga do processador e melhora a qualidade da busca. Por exemplo, desligue os eventos de auditoria Filtering Platform Connection com o comando:
   
   auditpol /set /subcategory:"{0CCE9226-69AE-11D9-BED3-505054503030}" /success:disable /failure:disable


2. Aumente a profundidade de leitura do log de auditoria de cada arquivo. O parâmetro fica nas configurações, na seção Monitoring. Comece em 100 e aumente aos poucos, de 100 em 100 registros.

P: Incluí um usuário na lista negra, mas ele ainda lê as minhas pastas. Por quê?

R: A função "Black list" desconecta usuários inconvenientes quando eles baixam um volume enorme de dados e deixam o PC lento. A lista negra não bloqueia por completo o acesso aos compartilhamentos. A pessoa ainda lista as pastas e abre arquivos pequenos, mas, ao tentar baixar arquivos grandes (que levam vários segundos ou mais), ela é desconectada.

Para bloquear alguém por completo, use as configurações de acesso e segurança dos compartilhamentos do sistema.

P: Como desligar o acesso aos compartilhamentos ocultos do sistema (quando todos os discos ficam compartilhados para os administradores – c$, d$, admin$ e outros)? Estou tentando desligar isso nas propriedades da pasta do Explorer, mas eles voltam depois de reiniciar.

R: Os compartilhamentos administrativos são criados automaticamente depois da instalação do sistema e da ativação da rede. Não dá para desligá-los pelo Explorer como nos compartilhamentos comuns. Antes de desligar os compartilhamentos do sistema, consulte o administrador da rede. Se o PC é da empresa e isso é no trabalho, talvez não deva desligar os compartilhamentos admin, porque o administrador pode precisar deles para gerenciar o PC, atualizar software e outras tarefas. Nesse caso, você também pode não ter direitos de administrador para desligar os compartilhamentos ou instalar software. Se der para instalar software, dá para acompanhar a atividade do administrador nos discos com o 10-Strike Connection Monitor. :)

Se o computador é de casa e você é o administrador, pode seguir. Os compartilhamentos admin podem ser desligados no registro. Localize o caminho

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters

do registro e crie o valor "AutoShareWks"=0 (dword) para estações ou "AutoShareServer"=0 (dword) para servidores.

P: Não consigo configurar os avisos por e-mail. Qual endereço de servidor SMTP devo informar? Para que servem essas portas? O que é o endereço do remetente?

R: Para enviar avisos automáticos por e-mail nos alertas:

1. Na seção "E-Mail" das configurações, informe o endereço do servidor SMTP. Pode ser um servidor público externo (Gmail, Yahoo) ou o servidor interno da empresa. As configurações SMTP de serviços públicos estão na Internet; as do servidor da empresa, com o administrador do sistema. O endereço do Gmail, por exemplo, é smtp.gmail.com. Alguns serviços públicos, como o Gmail, exigem mudança nas configurações de segurança da caixa para liberar o acesso SMTP/POP3/IMAP. Se houver muitos e-mails de saída, o serviço público pode bloquear as mensagens ou até a conta. Se forem muitos alertas, é melhor usar o servidor de e-mail da empresa.
2. Informe o endereço do remetente. Pode ser o seu. Quando o programa envia os avisos, os destinatários veem esse endereço no campo "From:". O endereço não pode ficar vazio. Para a entrega funcionar melhor, use um endereço do servidor SMTP informado no passo anterior. Por exemplo, user777@gmail.com.
3. Informe o assunto da mensagem. Use só letras, dígitos, símbolos e as chaves de substituição mostradas na tela (para colocar os dados reais do alerta no assunto).
4. Selecione a página de código (se o idioma não for inglês).
5. A maioria dos servidores SMTP exige autorização. Ligue "SMTP authorization..." e informe o usuário e a senha do e-mail. Em muitos casos, as credenciais SMTP são as mesmas do acesso POP3/IMAP. O usuário típico é o endereço de e-mail inteiro (login, @ e o domínio). O formato do usuário dos servidores públicos está na Internet. A senha de envio costuma ser a mesma da recepção em qualquer cliente de e-mail.
6. A porta SMTP padrão é 25. Alguns provedores a bloqueiam para evitar spam enviado por malware, e os avisos não saem. Nesse caso, use outra porta SMTP do servidor, por exemplo 2525, ou SMTP seguro na porta 465.
7. Com as configurações de e-mail prontas e as mensagens de teste saindo, configure os alertas e os avisos. Nas configurações do alerta, ligue o envio de e-mail e informe o endereço do destinatário (a caixa que recebe as mensagens).

A configuração de e-mail do programa é a mesma de outros programas de e-mail (Outlook, Thunderbird, Live Mail e outros). Em serviços públicos, as configurações típicas de IMAP/POP3/SMTP estão no site do serviço.

P: Uso a versão Pro e configurei o monitoramento de criação e exclusão de arquivos em um compartilhamento de rede. Informei o caminho da pasta assim: "\\Server\Folder\". Às vezes vejo os avisos na tela, mas o log de alertas fica vazio e nenhum e-mail chega. Por quê?

R: Na versão Pro, o monitoramento de criação e exclusão fica no console com interface e no serviço de monitoramento. A gravação do log e o envio de e-mail ficam só no serviço. Nesse caso, o serviço não monitora a pasta por falta de direitos de acesso. Por padrão, os serviços do Windows iniciam com a conta LocalSystem, que não tem direito de acesso à rede. Para o serviço acessar esse compartilhamento, altere a conta de inicialização para uma que tenha direito no compartilhamento remoto. Se o aplicativo (a parte com interface) monitora o compartilhamento sem problema, use a mesma conta do console para iniciar o serviço.

Passos:

1. Abra o gerenciador de serviços: "Start" -> "Run…" -> digite services.msc e clique em "??".
2. Na lista, encontre "10-Strike Connection Monitor Service" e abra as propriedades (clique duas vezes).
3. Vá à guia "Log On". Selecione "This account". Clique em "Browse...", "Advanced..." e depois em "Find Now". Selecione uma conta de administrador (com direitos de administrador neste computador). Clique em "OK" e em "OK" de novo. Abaixo, nos campos "Password" e "Confirm password", informe a senha dessa conta. Clique em "OK" e reinicie o serviço e o programa.

P: Às vezes vejo o computador ::1 na lista de acesso. O que é isso?

R: ::1 é a forma curta do endereço IPv6 do host local (o mesmo que 127.0.0.1). Para ver endereços comuns na lista (se o IPv6 não for necessário), desligue o protocolo "IP version 6" nas propriedades das interfaces de rede dos computadores.

Processos do sistema (drivers e serviços) podem acessar compartilhamentos locais por um caminho de rede. O programa detecta e mostra essas conexões na lista também. Isso é normal. Não inclua o endereço localhost na lista negra. Se fizer isso, o sistema inteiro pode ter problemas.

P: O programa fica lento e não responde com um grande número de conexões simultâneas de usuários aos compartilhamentos. O que fazer?

R: As configurações padrão privilegiam mostrar mais informação na tela principal em tempo real. Com muitos usuários conectados, a resposta do programa pode ficar lenta. Nesse caso, desligue algumas opções nas configurações.

1) Aumente o intervalo de atualização da lista na seção "View". Para começar, tente 5 segundos em vez de um. Aumente mais se precisar.

2) Desligue "Display current events". Isso oculta o painel inferior de eventos atuais na janela principal. Esse painel não acrescenta muita função. Todos os eventos continuam nos arquivos de log.

3) Faça isto só se as recomendações anteriores não resolverem. Vá à seção "Monitoring". Há três configurações que afetam o desempenho, dentro de uma moldura. Desligue uma de cada vez (começando pela detecção de endereço MAC) e veja se ajuda.