对应于远程文件访问的 Active Directory 事件 ID

Question

我正在处理在具有数百个 AD 服务器的大型网络上生成的活动目录日志。我无法在日志中找到几个基本网络事件的 Active Directory 事件 ID 示例。

哪些 Active Directory 事件 ID 对应

A) 网络资源，如被特定主机名读取/删除/修改的共享文件。例如，共享文件夹 z://server1/share1 上的 user1 访问电子表格 1.csv

B) 网络服务器已被特定用户访问。例如 user1 登录到财务服务器

Answer 1

那是因为没有。这些事件不会显示在域中每个成员服务器的域控制器安全日志中。您能想象如果域上任何地方的每个对象访问都由域控制器记录，那么您的 DC 上的日志会多么疯狂吗？或者更糟糕的是，复制到所有域控制器？

您可以在服务器上进行对象访问审核，并且对象访问将记录在该服务器上。

从那里开始，您可以疯狂地使用事件转发，将所有这些事件从不同的服务器发送到一个中央位置，但我不建议将它用于您域上的每个网络访问。将其限制为仅最敏感的文件。

您可以在服务器上的本地安全策略中或通过组策略设置对象访问审核。