Configuração da auditoria de acesso a compartilhamentos para detectar quem exclui ou cria arquivos
Por padrão, o programa não identifica o usuário que excluiu ou criou um arquivo. É preciso ativar a auditoria de acesso desse compartilhamento. Faça isso em dois passos:
1. Configure a Política de Grupo de auditoria no sistema
Execute o comando gpedit.msc (pressione Win+R ou clique em Iniciar -> Executar...): Política "Computador local" – "Configuração do Computador" - "Configurações do Windows" - "Configurações de Segurança" - "Políticas Locais" - "Política de Auditoria" – clique duas vezes em "Auditar acesso a objetos". Basta monitorar o acesso bem-sucedido. O programa faz este passo automaticamente quando você clica no botão "Enable audit for the specified folder".
2. Ative a auditoria nas pastas necessárias
Faça o seguinte:
1) Abra as propriedades da pasta que você quer monitorar. Essa janela abre automaticamente quando você clica no botão "Enable audit for the specified folder".
2) Vá à guia Security e clique em Advanced. Abra a guia Auditing e clique em Add.
3) Na janela Auditing Entry for..., selecione Object. Clique em Select object e a janela padrão de seleção de usuário será exibida.
4) Na janela de seleção de usuário, clique em Advanced...
e depois em Search... para exibir a lista completa de usuários do sistema. Selecione Everyone e clique em ??.
5) Volte à janela Auditing Entry for... e selecione os eventos que o sistema deve auditar nas operações com arquivos da pasta. Aplique as alterações em cada janela aberta, uma a uma.
A configuração da auditoria da pasta está concluída. O Windows grava registros no Log de Eventos para as operações de arquivo selecionadas nessa pasta. Quando arquivos são excluídos ou criados na pasta, o programa lê o Log de Eventos e obtém informações adicionais sobre os usuários conectados que executaram as operações monitoradas.
Observe que o sistema grava mais de 10 registros no Log de Eventos para uma única operação de arquivo. O log pode crescer rápido; recomendamos limitar o tamanho nas configurações do Log de Eventos e acompanhá-lo.