Как отслеживать изменения прав доступа к папкам

Question

Я обнаружил, что мои разрешения для временной папки иногда меняются, и это приводит к сбоям в работе многих программ, поскольку они больше не могут записывать в папку. Затем я вручную устанавливаю разрешения в их правильное состояние, но через несколько дней они снова меняются, и это очень расстраивает. Я хочу узнать, какая программа их меняет.

Есть ли способ узнать, какой исполняемый файл изменил права доступа к папке? Есть ли способ отслеживать или регистрировать изменения разрешений?

РЕДАКТИРОВАТЬ Я также принимаю любые комментарии или ответы, которые помогают мне предотвратить изменение разрешений программами.

Answer 1

У вас есть два варианта, в зависимости от ваших предпочтений или конкретных потребностей:

Procmon

Используя Procmon, вы хотите установить фильтры для следующего:

1. Операция: фильтр для SetSecurityFile (используйте условие "есть"). Это покажет вам любое событие, в котором ACL изменен для файла или каталога.
2. Путь: укажите путь к вашей временной папке. Если ваш путь c:\path\to\temp , введите его. Снова используйте условие "есть", однако вы можете использовать условие "начинается с", если хотите увидеть изменения ACL для подпапок.

Если это требует длительного времени, вы, скорее всего, захотите включить опцию "Удалить отфильтрованные события" в меню "Инструменты".

Преимущества использования Procmon заключаются в том, что его легко загружать и запускать с минимальной предварительной настройкой за счет необходимости постоянно поддерживать его работу.

Аудит файловой системы

Чтобы использовать аудит, вам нужно сделать следующее:

1. В локальной политике (или соответствующем объекте групповой политики) компьютера включите Аудит успеха с помощью одного из следующих:
   • Computer Configuration | Policies | Windows Settings | Security Settings | Local Policies | Audit Policy | Audit Object Access
   • Computer Configuration | Policies | Windows Settings | Security Settings | Advanced Audit Policy Configuration | Audit Policies | Object Access | Audit File System
2. Включите аудит в своем каталоге, щелкнув правой кнопкой мыши каталог в проводнике Windows и выбрав Properties | Security | Advanced | Auditing | Edit... | Add... Затем введите « Everyone качестве участника безопасности для аудита. Наконец, установите флажок "Успешно" для "Изменить разрешения".
3. В журнале событий безопасности найдите событие 4663 или 4670.