תיעוד של NTFS בתוך GPO
פרקי ההרצאה: תיעוד של NTFS בתוך GPO
תמלול ההרצאה: תיעוד של NTFS בתוך GPO
הטקסט המלא של הדקות הראשונות בהרצאה «תיעוד של NTFS בתוך GPO» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום וברוכים הבאים לסרט על מערכת תיעוד, על אודיטינג. איך מתעדים ולמה זה חשוב לתעד? מה זה לתעד? נניח שיש לנו בשרת תיקייה חשובה שנקראת, בואו נעשה תיקייה חשובה שנקראת, תיקייה מסמכים סודיים.
נניח מסמכים על תקציב, אוקיי? בואו נקרא לתיקיית תקציב. אז יש לנו תיקייה שנקראת תקציב, ובתוך תיקיית התקציב הזאתי יש איזשהו מסמך, מסמך משכורות, משכורות בשנה הבאה בשנה הבאה וזה מסמך מאוד מאוד חשוב ש-10,000 שקל יקבל ניקולאי בשנה הבאה מה שבטוח שזה לא יהיה בשנה הזאת אז נניח שזאת תיקיה מאוד מאוד חשובה ואני רוצה לדעת
מי נכנס אליה מי קרא מי שינה בדברים אני רוצה תיעוד כן אני לדוגמה השתמשתי במערכת תיעוד הזאת כשהיה לי סיפור כזה חברה מסוימת שהייתי בה אמרו לי המערכת מוחקת קבצים ואני גיליתי לתדהמתי שהיא לא מוחקת שום דבר פשוט יוזר לא יודע לעשות דאבל קליק הוא עושה קליק אחד גורר את התיקייה עוזב אותה במקום אחר
ואז הוא חושב שהתיקייה נעלמה בעצם הוא לא מבין שהוא בעצמו הזיז אותה והייתי צריך לדעת מי זה היוזר הזה מתוך המאות אנשים שנמצאים בחברה מי בטעות מזיז את התיקיות אז עשיתי מערכת תיעוד הפעלתי מערכת תיעוד ועליתי שאיזה מישהי מאוד שקטה שיושבת בפינה באיזשהו מקום מרוחק, לא יודעת להשתמש במחשב בכלל ולא יודעת לעשות דאבל קליק.
אז היא עושה קליק, שימו לב, קליק, בטעות מזיזה את העכבר ועוזבת. ואז הוא עושה לה מוב, הוא מעביר את התיקייה ממקום למקום, וזו תיקייה עם כל המסמכים וזה עשה לי המון המון בעיות.
בקיצור, מערכת תיעוד מאוד מאוד חשובה גם למסמכים סודיים, גם לדעת מי עשה מה עשה במערכת. אז אנחנו באים לתיקיית תקציב, עושים סיקיוריטי, בסקיוריטי של ntfs באדוונס שלה יש לנו tab שאתם כבר מכירים permissions עם הרשאות ולידו auditing מערכת תיעוד מה אנחנו קובעים edit אחרי מי לעקוב אחרי מי אנחנו רוצים לעקוב
במקרה שלנו אחרי כל העובדים ואחרי איזה פעולה לעקוב נניח אני רוצה לעקוב רק אחרי פעולת delete למה כי זה הסיפור שהיה לי מישהי שהצליחה לעשות delete אני רוצה לדעת מי הצליח למחוק קבצים, מי עשה מחיקה.
זה מה שמעניין אותי, פעולת מחיקה נטו. למה זה מעניין אותי? כי זה מה שאני רוצה לעקוב. אל תתפתו לעשות פה פול קונטרול, אומרים, וואי, אני רוצה לדעת הכל, בואו נסמן פה את כל ה-Vים, כי אתם, כל היומן האירועים, כל היומן יהיה מפוצץ אירועים, מישהו קרה, מישהו ניגש
לתקנייה, ומרוב זה שיהיו לכם הרבה אירועים, אתם לא תעלו על המידע החשוב באמת. רק אחרי מה שרוצים לעקוב תעשו את הוויים. אני רוצה לעקוב אחרי אבריוואן על כל התיקיות ועל כל תתי התיקיות ועל כל הקבצים על פעולת delete מוצלחת או לא מוצלחת אמרתי רק מוצלחת אוקיי אוקיי אוקיי אוקיי ברגע שהגדרתי את זה ברמת תיקייה זה גם חל על הקובץ שבפנים כי הוא מקבל הורשה בסקיוריטי אדוונסט הוא
מקבל אודיטינג מאבא שלו אתם רואים מתיקי הצי תקציב הוא קיבל הורשה ופה באדיט אנחנו יכולים לראות שהוא קיבל בו הורשה אפורה כל מי שיעשה delete everyone הוא יהיה במעקב טוב מאוד עכשיו אנחנו צריכים לבדוק שזה אכן עובד אבל אני ישר אגיד לכם שזה לא יעבוד למה זה לא יעבוד כי המנוע הגדול של אודיטינג לא עובד צריך להפעיל את המנוע הגדול בשביל זה אנחנו נבוא ל group policy נעמוד נניח על
אויו מסוים או על דומיין כולו ועל דומיין כולו נעשה רייט קליק gpo חדשה turn on auditing תפעיל את ה-auditing או enable auditing מה שאתם רוצים אתם יכולים גם לכתוב בעברית אבל אף אחד לא עושה את זה סבבה זה חל על כולם אני עושה right-click-edit ונכנס לתוך הגרופ פוליסי שפה צריכים להכיר לאן ללכת מי שלא מכיר שישתמש בו גוגל כי אין פה חיפוש זה ב-security ובתוך ה-security
יש פה local policies ויש פה audit audit policy ושימו לב איזה מנועים יש לנו קודם כל המנוע של ntfs נקרא object access גישה לאובייקטים אנחנו אומרים תפעיל את המנוע ותעקוב אחרי פעולות מוצלחות זה מפעיל את המנוע ברמת מחשב כולו וברמת כל תיקי אני מגדיר מה אני רוצה לעקוב יש לנו פה לוגון events מי נכנס למחשב מישהו
בא לווינדוס 7 נכנס או ניסה להיכנס ולא נכנס הוא מתעד לי אותו אמרתי לו תתעד את זה גם אודיטינג על אירועים של אקאונט לוגון אבנטס.
מה זה, מה ההבדל בין לוגון אבנטס הזה לזה כניסה פיזית? אקאונט לוגון אבנטס זה אומר כניסה דרך אקטיב דירקטורי.
מישהו ניסה דרך אקטיב דירקטורי, זאת אומרת עם יוזר של אקטיב דירקטורי, דומיין קונטרולר יתעד, אם אני אעשה פה Enabled, דומיין קונטרולר יתעד לי פה מי ניסה להיכנס, לבקש ממנו שם וסיסמה. מי ניסה מדומיין קונטרולר לבקש שם וסיסמה?
ואודיטינג סיסטם אבנטס זה אומר מי עשה כיבוי והדלקה לשרת. תחשבו שמישהו מכבה לי את השרת, אני רוצה לדעת מי מכבה את השרת.
יש לכם פה הסבר קצרצר אז הוא בעצם מתעד לי את מי עשה פעולות של סיסטם אבנטס. פריבילג'ס יוס זה אומר שמישהו לקח בעלות על הקובץ, נהיה בעלים של הקובץ.
טוב מאוד מה שאתם צריכים לזכור מכל זה זה בעצם אובג'קט אקסס שזה הכי הכי חשוב שזה אומר מי ניגש לאובייקטים במערכת משמע ל-NTFS.
אני אישית גם השתמשתי בזה ובזה הרבה בשביל לדעת מי נכנס לאיזה מחשב באיזה שעה ומי מחבל את השרתים. היה לי איזה שרת טרמינל סרבר שזה כאילו שרת שהרבה מתחברים אליו עם שולחן עבודה מרוחק ואז אומרים לי השרת לא עובד אני מגיע באמת השרת לא עובד בדקתי לו זיכרון נראה שהכל בסדר הפעלתי אותו עובד אחרי יומיים עוד פעם אומרים
לי שרת לא עובד מגיע אליו עוד פעם שרת לא עובד. חשבתי בדקתי ביומן אירועים פתאום אני מבין שאחד המשתמשים לא מבין שהוא נמצא בשרת בשולחן עבודה מרוחק על השרת אז הוא בסוף העבודה עושה לו שאט דאון כאילו זה המחשב האישי שלו מכבה את השרת לכולם אז כמובן שעשיתי פה תיעוד ועליתי מי זה עושה את זה
ופשוט אמרתי לו שלא יכבה את השרת או שאני אקח להם את הזכויות של האדמיניסטרטור מהשרת הזה לתת להם אדמיניסטרטור על איזה שרת אחד וזה עשה לי הרבה בלאגן טוב חברים בקיצור בואו נראה איך זה עובד באמת אנחנו נבוא עכשיו אחרי שהפעלנו את המנוע אנחנו צריכים לעשות פקודת gp update או לחכות כמה זמן מחכים אם לא עושים gp update אם זאת
תחנת עבודה 90 עד 120 דקות ואם זה domain controller מחכים 5 דקות כל 5 דקות domain controller עושה gp update לפוליסה ודרך אגב מי שרוצה לדעת אם אפשר לשנות את הזמנים האלו אז אפשר אפשר לבוא פה ל group policy ובתוך group policy אפשר להגיד שיעשה באדמיניסטרטיב טמפלייטס בסיסטם group policy settings כל כמה זמן הוא עושה רפרש.
שימו לב, הרפרש של גרופוליסי נקבע בגרופוליסי, כאילו היא שולטת על עצמה. גרופוליסי רפרש אינטרוול, כל כמה זמן עושה רפרש המחשב הרגיל, ותראו אם אתם עושים פה אנאבל, דיפולט 90 ועוד 30 דקות כאילו רנדום, רנדומלי, זמן רנדומלי שהוא מוסיף, כדי שלא כולם יתנפלו בו זמנית על אותו שרת.
מי שרוצה יכול לשנות את זה, בואו נשנה את זה לדוגמה, נגיד אנחנו ארגון קטן, אין לנו בעיה של עומס כל 10 דקות תבוא ויש לך עוד 5 דקות ככה פלוס מינוס 5 דקות עד רבע שעה כולם מקבלים פוליסות ודומיין קונטרולרים מבחינתי שיקבלו כל 5 דקות זה בסדר יפה זה רפרש אינטרוול דרך אגב כל ההגדרות של לשלוט על גורופוליסי נמצאות פה אני כבר אראה לכם עוד אחת סלואו לינק דטקשן
סלואו לינק זה אומר קו איטי אם גורופוליסי מזהה שהקו שלך מתחת ל500 קילו ביט בשנייה היא לא תיישם לכם גרופוליסי כבדות כמו התקנת תוכנות, אוקיי? אז אני יכול פה לקבוע שאל תתקין תוכנות גם אם יש לי 700, קו של 700. טוב מאוד, הפעלנו אותה בגרופוליסי, את המנוע של האודיטינג, זוכרים את זה? זה פה
נמצא, מנוע של האודיטינג בקומפיוטר. עשינו gp update, הפעלנו את המנוע, הלכנו לתיקייה, הגדרנו לתעד מחיקה, ובואו נעשה delete, ונראה שזה באמת מתעד את זה.
איפה אני רואה את המחיקה? זה נמחק, נכון. תיעוד מטרתה זה לא למנוע מחיקה אלא לתעד שהייתה מחיקה ואם היא מחקה את זה ולא משנה אם הוא עשה את זה דרך share או מקומית זה לא משנה כל עוד זה נמחק מהhard disk זה מתועד איפה זה מתועד בתוך יומן אירועים בתוך event viewer אתם רואים בתוך event viewer יש לנו פה לוגים של windows ויש פה security לוג
של security יומן לסקיוריטי בתוך יומן של security צריך להתחיל לחפש את זה ואנחנו צריכים לעבור אחד אחד ולחפש את זה עכשיו כמובן שזה קצת מעצבן אבל זה כשיש לנו הרבה אירועים אין מה לעשות חייבים לעבור אחד אחד עד שאנחנו נמצא את האירוע בואו ננסה לעשות את זה זריז אחרי שאתם מוצאים את האירוע אתם יודעים את האבנט ה-id שלו את המספר אירוע אתם תוכלו ללכת ישר לפי אבנט ה-id לוג-אוף
לוג-און זה לא זה לוג-אוף לוג-און לא זה פילטרינג פלטפורם כל זה לא זה איפה הוא צריך להיות יחסית אחרון איפה הוא נעלם לנו לאן זה קפץ security האמת שמועים כמה אירועים יש פה בואו בואו נעשה קומבינה, מה קומבינה? אני עושה רייט קליק קליר, מנקה את כל היומן, אומר תמחק לי את כל היומן שיהיה נקי,
אני אצור פה קובץ חדש, אני אעשה פה קובץ חדש שנקרא טסט, ואני אעשה לו מחיקה, ונראה מה קורה ביומן האירועים, למה הוא קופץ לי לפה?
יומן האירועים, רייט קליק רפרש, יפה. תראו כמה אירועים נוצרו לי, תראו מה זה. הנה, אני מחפש Object Access, הנה Object Access, Object Access זה מה שאני מחפש, יפה, 4656, האירוע נקרא 4656, אתם רואים את זה המספר שלו?
לא יודע, זה לא נראה לי שזה זה. צריכים לעבור 1-1, חבר'ה, זה חיסרון של המערכת שיש המון המון אירועים. קוראים לנו פה כל הזמן הרבה הרבה אירועים.
אנחנו יכולים לעשות מסננת. בואו נעשה מסננת לפי Object Access. תראו כמה דברים קרו פה. לא ניקינו אותו לפני שנייה, בואו ננקה אותו שוב.
Clear Log, בואו נעשה ככה, נעשה קובץ חדש. חבר'ה, זה החיסרון הכי גדול של, זה החיסרון הכי גדול בעצם של היומן האירועים הזה של Event Viewer, שיש לו יותר מדי דברים קורים, אתה לא מוצא את הרגליים ואת הידיים אם אתה לא יודע בדיוק איזה איבנט אתה מחפש.
טוב מאוד, עכשיו הוא ריק, נעשה פה רפרש, תראו כמה דברים קרו. בואו נעשה עוד פעם רפרש, לראות אם זה יתבסס. רפרש, תראו כמה דברים קורים פה במחשב הזה, נונסטופ, תראו, כבר מילא לי את כל היומן.
טוב, אין לי מה לעשות, אני חייב לבודד את האירוע, אני מוחק את הקובץ ומחפש פה את האירוע שלי של Object Access. למה הוא קופץ לי לפה כשאני עושה לו Refresh?
רק קליק רפרש. אוקיי, הנה Object Access, מישהו ניגש לקובץ. בואו נעשה מסננת משלנו. נעשה פה Custom View, Create Custom View, לעשות בעצם יומן משלנו.
אנחנו נעשה אותו לפי יומן של Security. יודעים מה? נעשה את זה לפי Source. לפי Source שנקרא מי יוצר ה-Other. הנה אני אומר לו תקשיב תראה לי במסננת איך הוא נקרא Object Access אז קטגורי והסורס זאת עמודה של הסורס טוב האמת שאני אספר לכם סוד שאני כבר הכנתי את זה מראש אני יודע שהאירוע הוא 4663 כן אחרת היינו צריכים לחפש אותו האירוע 4663 זה אירוע של מחיקה אנחנו יכולים
לראות פה שהאדמיניסטרטור מחק קובץ a.txt אבל מי שלא יודע שזה אירוע של מחיקה צריך לחפש בין כל האירועים איזה אירוע זה מחיקה ולא לעשות יותר מדי לתעד, אתם רואים, אדמיניסטרטור עכשיו אני אראה לכם משהו יותר חזק מזה בואו נעשה קובץ שנקרא bbb ובסוף ccc נמחק אותו תראו פה במחיקות הוא מסנן לי רק את האירוע המסוים הזה רק את הרפרש המסוים