01Olaydaki alanlar
- SubjectUserSid
- SubjectUserName
- SubjectDomainName
- SubjectLogonId
- ObjectType
- IpAddress
- IpPort
- ShareName
- ShareLocalPath
- AccessMask
- AccessList
02Nasıl kullanılır
Olayı aynı bilgisayardaki 4624 kaydıyla eşleştirmek için SubjectLogonId, bağlantının nereden geldiğini görmek için IpAddress değerini kullanın; ShareName ve ShareLocalPath hangi paylaşıma ulaşıldığını gösterir. Microsoft'un izleme önerisi, yüksek değerli bilgisayarlarda tüm paylaşımlara ya da belirli paylaşımlara yapılan erişimi izlemek ve iç ağ aralığı dışındaki kaynak adreslere bakmaktır. Olay oturum başına bir kez yazıldığından hangi dosya ve klasörlere dokunulduğunu görmek için 5145 kaydına bakın. İlk geçişte IPC paylaşımının (adı dolar işaretiyle biter) ve NetLogon paylaşımının kayıtlarını ayırıp kalan paylaşımları okuyun; bunun sorunun dayandığı bir kaydı gizlemediğini incelenen sistemin kendi verisinde doğrulayın.
03Olağan nedenler
Dosya paylaşımının her olağan kullanımı bu olayı üretir: sayfa, olayın bir ağ paylaşımı nesnesine her erişildiğinde, oturum başına ilk erişim denemesinde üretildiğini söyler. Tek bir kayıt bu nedenle yalnızca bir istemcinin paylaşıma ulaştığını gösterir.
04Birlikte okunacak olaylar
- 5145 Bir ağ paylaşımı nesnesi için istemciye istenen erişimin verilip verilemeyeceği denetlendi5145, Audit Detailed File Share alt kategorisi altında her dosya ya da klasör erişimini kaydeder; 5140 ise oturum başına bir kez yazılır. İkisi de SubjectLogonId, IpAddress, IpPort ve ShareName alanlarını taşır; dosya düzeyindeki kayıtlar bu sayede oturum kaydının altına yerleştirilebilir. Bu alanlar üzerinden eşleştirme bir çalışma yöntemidir; Microsoft'un sayfaları bunu anlatmaz.
- 4624 Bir hesapta başarılı oturum açıldıMicrosoft, Logon ID değerinin oturum açma olayıyla eşleştirilebileceğini belirtir; böylece paylaşıma erişen hesabın nasıl oturum açtığı görülür. IpAddress iki olayda da bulunur; bu alanı karşılaştırmak bir çalışma yöntemidir, sayfa bunu belirtmez.
05Uyarılar
Audit File Share etkin olmalıdır. Oturum başına bir kez, ilk erişim denemesinde yazılır; bu nedenle dokunulan dosyaları ya da oturumda sonradan olanları listelemez. Bu olayda AccessMask her zaman 0x1, erişim listesi her zaman ReadData (veya ListDirectory) olduğundan yazma ya da silmeyi gösteremez. ObjectType her zaman File'dır. ShareLocalPath boş olabilir; örneğin IPC paylaşımında.
07Kaynaklar
- Microsoft Learn — 5140(S, F) A network share object was accessed erişim 2026-10-23