01Olaydaki alanlar
- SubjectUserSid
- SubjectUserName
- SubjectDomainName
- SubjectLogonId
- ObjectType
- IpAddress
- IpPort
- ShareName
- ShareLocalPath
- RelativeTargetName
- AccessMask
- AccessList
- AccessReason
02Kodlu değerleri okumak
| Değer | Anlamı |
|---|---|
| 0x1 (%%4416) | ReadData (veya ListDirectory): dosyada dosya verisini okuma hakkı; dizinde dizin verisini okuma ya da listeleme hakkı. |
| 0x2 (%%4417) | WriteData (veya AddFile): dosyada dosyaya veri yazma hakkı; dizinde dizinde dosya oluşturma hakkı. |
| 0x4 (%%4418) | AppendData (veya AddSubdirectory ya da CreatePipeInstance): dosyada dosyaya veri ekleme hakkı; dizinde alt dizin oluşturma hakkı; adlandırılmış kanalda kanal oluşturma hakkı. |
| 0x8 (%%4419) | ReadEA: genişletilmiş dosya özniteliklerini okuma hakkı. |
| 0x10 (%%4420) | WriteEA: genişletilmiş dosya özniteliklerini yazma hakkı. |
| 0x20 (%%4421) | Execute/Traverse: yerel kod dosyasında dosyayı çalıştırma hakkı; dizinde dizinde gezinme hakkı. |
| 0x40 (%%4422) | DeleteChild: dizinde, bir dizini ve salt okunur olanlar dahil içerdiği tüm dosyaları silme hakkı. |
| 0x80 (%%4423) | ReadAttributes: dosya özniteliklerini okuma hakkı. |
| 0x100 (%%4424) | WriteAttributes: dosya özniteliklerini yazma hakkı. |
| 0x10000 (%%1537) | DELETE: nesneyi silme hakkı. |
| 0x20000 (%%1538) | READ_CONTROL: nesnenin güvenlik tanımlayıcısındaki bilgiyi, sistem erişim denetim listesi (SACL) hariç, okuma hakkı. |
| 0x40000 (%%1539) | WRITE_DAC: nesnenin güvenlik tanımlayıcısındaki isteğe bağlı erişim denetim listesini (DACL) değiştirme hakkı. |
| 0x80000 (%%1540) | WRITE_OWNER: nesnenin güvenlik tanımlayıcısındaki sahibi değiştirme hakkı. |
| 0x100000 (%%1541) | SYNCHRONIZE: nesneyi eşitleme için kullanma hakkı; bir iş parçacığının nesne sinyal durumuna gelene kadar beklemesini sağlar. Bazı nesne türleri bu hakkı desteklemez. |
| 0x1000000 (%%1542) | ACCESS_SYS_SEC: nesnenin güvenlik tanımlayıcısındaki SACL'yi alma ya da ayarlama hakkı. |
03Nasıl kullanılır
Hangi dosya ya da klasöre ulaşıldığını ShareName ve RelativeTargetName verir; erişim paylaşımın kendisi için istendiyse RelativeTargetName tek bir ters eğik çizgi olarak görünür. AccessMask istenen erişim haklarının toplamıdır, AccessList bu hakları sayar (aşağıdaki tablo her hakkın onaltılık değerini ve AccessList'in hakkı taşıdığı %% şema değerini verir). Sayfa erişim denetimi sonucunu şöyle tanımlar: her istenen hakkı Granted by veya Denied by ifadesi ve erişime izin veren ya da erişimi reddeden erişim denetim girdisinin SDDL gösterimi izler. SubjectLogonId değerini aynı bilgisayardaki 4624 ile eşleştirin, IpAddress değerini karşılaştırın. Microsoft'un izleme önerisi, özellikle başarısız kayıtlarda şu hakları adlandırır: WriteData, AppendData, WriteEA, DeleteChild, WriteAttributes, DELETE, WRITE_DAC ve WRITE_OWNER.
04Olağan nedenler
Bir paylaşım üzerinden yapılan her dosya ya da klasör erişimi bu olayı üretir: sayfa, olayın bir ağ paylaşımındaki bir dosyaya ya da klasöre her erişildiğinde üretildiğini söyler; olağan dosya paylaşımı kullanımı bu nedenle bir dizi kayıt bırakır.
05Birlikte okunacak olaylar
- 5140 Bir ağ paylaşımı nesnesine erişildi5140 oturum düzeyindeki kayıttır, oturum başına bir kez, ilk erişim denemesinde yazılır; 5145 dosya düzeyindeki kayıttır. İkisi de SubjectLogonId, IpAddress, IpPort ve ShareName alanlarını taşır. Bu alanlar üzerinden eşleştirme bir çalışma yöntemidir; Microsoft'un sayfaları bunu anlatmaz.
- 4624 Bir hesapta başarılı oturum açıldıMicrosoft, Logon ID değerinin oturum açma olayıyla eşleştirilebileceğini belirtir; böylece paylaşıma erişen hesabın nasıl oturum açtığı görülür. Bu eşleştirme her dosya ya da klasör erişimini, onu yapan oturumun içine yerleştirir.
06Uyarılar
Audit Detailed File Share etkin olmalıdır. Her dosya ya da klasör erişimi için yazıldığından kayıt hacmi yüksek olabilir. Başarısız kayıtlar yalnızca erişim dosya paylaşımı düzeyinde reddedildiğinde üretilir; erişim dosya sistemi (NTFS) düzeyinde reddedilirse hiçbir kayıt üretilmez. Bu nedenle başarısız kaydın bulunmaması, hiçbir girişimin reddedilmediğini göstermez.