Je veux savoir comment auditer l'accès aux fichiers sous Windows en utilisant l'accès au partage réseau.
J'ai deux ordinateurs qui fonctionnent sous Windows 8 et qui ne sont pas joints à un domaine Active Directory. L'ordinateur 1 a partagé un dossier avec Everyone. L'ordinateur 2 copie les fichiers de l'ordinateur 1 à partir du dossier partagé.
Problème : Je me serais attendu à voir des événements de lecture IO sur l'ordinateur 1 (utilisant procmon ) mais cela ne se produit pas. Je sais que je peux obtenir les métadonnées IO en tournant le bouton surveillance de l'accès aux fichiers Cependant, cela semble inefficace et difficile à agréger avec les données que je reçois d'un pilote de système de fichiers minifiltre (pensez aux lectures de fichiers procmon).
Questions :
- Quels protocoles sont utilisés sur les ordinateurs 1 et 2 pour accéder aux fichiers via les partages réseau ?
- Pourquoi procmon ne voit-il pas les événements IO sur l'ordinateur 1, lorsque l'ordinateur 2 accède à son dossier partagé ?
