[스크랩] 감사정책을 활성화하여, 보안 이벤트로그에서 확인이 가능

출처: Wssplex.net

출처 URL: http://www.wssplex.net

등록자: wssplex
이메일: kissme7@msn.com
홈페이지: http://www.wssplex.net
http://www.wssplex.net/QnA/Server.aspx?No=1278

부모글내용

안녕하세요 오랜만에 인사드리네요 ^^;
다름이 아니라

현재 2003서버를 사용하고 있는데,
파티션 한 드라이브를 통째로 네트웍공유를 한상태입니다.

그런데 여러사람이 네트웍드라이브로 연결해서 사용하다보니,
누가 어떤폴더또는 파일을 삭제하더라도 알수가 없네요

제가 궁금한건 누가 파일을 삭제또는 수정했는지...모 이런 로그 남기는 기능은 없는지
궁금합니다.

이벤트뷰어에서 확인하는줄알고 봤는데 그건 아니더라고요 ^^;;
그럼 답변부탁드릴께요
읽어주셔서 감사합니다. ^^

www.wssplex.net

기본값의 이벤트로그에서는 확인을 할수가 없지요,.
Enable 설정이 되어 있지 않으니깐요,.

로컬보안정책의 감사정책에서, [개체 엑세스 감사] 가 해당 됩니다. 여기서 개체라는 말은 일반적인 파일이나 폴더부터 레지스트리등까지 광범위하게 포함됩니다.




설명은 다음과 같지요,.^^

개체 액세스 감사

이 보안 설정은 파일, 폴더, 레지스트리 키, 프린터 등과 같이 자체적으로 지정된 SACL(시스템 액세스 제어 목록)이 있는 개체에 액세스하는 사용자의 이벤트를 감사할지 여부를 결정합니다.

이 정책 설정을 정의할 경우 이벤트 유형을 [감사 성공], [감사 실패] 또는 [감사 안 함]으로 지정할 수 있습니다. [성공 감사]는 사용자가 SACL이 지정된 개체에 액세스할 때마다 감사 항목을 생성합니다. [실패 감사]는 SACL이 지정된 개체에 대한 액세스가 실패할 때마다 감사 항목을 생성합니다.


자 그러면,. 위 설정만으로도 어느정도 항목에 대해서 이벤트 로그에 기록이 되는데요,.

하고자 하는 특정 드라이브에 대해서 감사를 기록하기 위해서는, 해당 드라이브 등록정보의 보안탭에서 역시 [감사] 설정을 해주어야 합니다.



감사항목이 여러가지인데 필요한 항목만 하시면됩니다.

그런데,. 일반적으로 특별한 이유가 아니면 설정을 잘하지 않고요,. 파일량이나 감사항목에 의해 보안 이벤트가 생성될 이벤트건수가 많은 경우 해당 서버나 컴퓨터의 성능에 따라 로드를 유발하여 약간의 성능저하를 가져올수도 있습니다.

해보시면 아시겠지만,. 감사항목에 따라서 이벤트건수가 하루에 몇십만건에서 몇백만건 쌓이는 경우도 있습니다.

이런 부분 가만하시고요,..^^

ps, 어쩌다가 한번씩 특정 항목에 대해서 확인하는 경우를 제외하고는,.
이벤트로그 그거 검토하는거 쉽지 않을텐데요?....