Dateiüberwachung - Auswertung

[rt1970 10]

Hallo an alle!

 

Ich habe 3 Server, die via VPN verbunden sind.

Jeder hat einen Ordner, der via DFS synchronisiert wird.

 

Nun ist das Problem, dass eine häufig genutzte Datei plötzlich verschwunden!

Keiner war es - klar.

Überwachung ist an, nur die Eventlogs zu verstehen ist eine Wissenschaft.

Gibt es eine simplere Erklärung dafür?

 

z.B. was heißt das?

 

Zugriffe: READ_CONTROL Daten schreiben (oder Datei hinzufügen) Daten anhängen (oder Unterverzeichnis hinzufügen oder Pipeinstanz erstellen) EA schreiben Attribute lesen Attribute schreiben Rechte: - Beschränkte SID-Anzahl: 0 Zugriffsmaske: 0x20196

 

Oder danach:

 

Zugriffe: DELETE READ_CONTROL ACCESS_SYS_SEC Daten lesen (oder Verzeichnis auflisten) EA lesen Attribute lesen Rechte: - Beschränkte SID-Anzahl: 0 Zugriffsmaske: 0x1030089

 

Zugriffe: DELETE READ_CONTROL Daten lesen (oder Verzeichnis auflisten) EA lesen Attribute lesen Rechte: - Beschränkte SID-Anzahl: 0 Zugriffsmaske: 0x30089

 

Zugriffe: DELETE SYNCHRONIZE Rechte: - Beschränkte SID-Anzahl: 0 Zugriffsmaske: 0x110000

 

Zugriffe: READ_CONTROL Daten lesen (oder Verzeichnis auflisten) Daten schreiben (oder Datei hinzufügen) Daten anhängen (oder Unterverzeichnis hinzufügen oder Pipeinstanz erstellen) EA lesen EA schreiben Attribute lesen Attribute schreiben Rechte: - Beschränkte SID-Anzahl: 0 Zugriffsmaske: 0x2019F

 

Alles in der selben Minute!

Was hat die gute Dame mit der Datei gemacht, laut diesem Log?

[Gabriel70 10]

z.B. was heißt das?

 

Zugriffe: READ_CONTROL Daten schreiben (oder Datei hinzufügen) Daten anhängen (oder Unterverzeichnis hinzufügen oder Pipeinstanz erstellen) EA schreiben Attribute lesen Attribute schreiben Rechte: - Beschränkte SID-Anzahl: 0 Zugriffsmaske: 0x20196

 

Oder danach:

 

Zugriffe: DELETE READ_CONTROL ACCESS_SYS_SEC Daten lesen (oder Verzeichnis auflisten) EA lesen Attribute lesen Rechte: - Beschränkte SID-Anzahl: 0 Zugriffsmaske: 0x1030089

 

Zugriffe: DELETE READ_CONTROL Daten lesen (oder Verzeichnis auflisten) EA lesen Attribute lesen Rechte: - Beschränkte SID-Anzahl: 0 Zugriffsmaske: 0x30089

 

Zugriffe: DELETE SYNCHRONIZE Rechte: - Beschränkte SID-Anzahl: 0 Zugriffsmaske: 0x110000

 

Zugriffe: READ_CONTROL Daten lesen (oder Verzeichnis auflisten) Daten schreiben (oder Datei hinzufügen) Daten anhängen (oder Unterverzeichnis hinzufügen oder Pipeinstanz erstellen) EA lesen EA schreiben Attribute lesen Attribute schreiben Rechte: - Beschränkte SID-Anzahl: 0 Zugriffsmaske: 0x2019F

 

 

Hallo!

 

Sieht so aus, als hätte die Person an den Berechtigungen eines Objektes konfiguriert ( oder gespielt ;) )

 

Gruß

[rt1970 10]

Wie kommst Du darauf?

[Gabriel70 10]

Wie kommst Du darauf?

 

Hallo!

 

 

Na ja, es wird zu den beschriebenen Objektzugriffsrechten eine SID benannt - deutet auf einen Zugriff durch den entsprechenden Benutzer hin.

 

Zugriffe: DELETE READ_CONTROL ACCESS_SYS_SEC Daten lesen (oder Verzeichnis auflisten) EA lesen Attribute lesen Rechte: - Beschränkte SID-Anzahl: 0 Zugriffsmaske: 0x1030089

 

Gruß

[rt1970 10]

Die SID ist klar, der Name auch - nur WAS die gemacht hat???

Ich vermute, dass die die Datei gelöscht hatte!

So ganz schlau werde ich aus diesen Zugriffsmasken nicht...