ردیابی کسی که فولدری را پاک کرده است
سلام. یه مشکلی پیش اومده که یکی از کاربران شبکه از بیرون سازمان به کامپیوتر داخل سازمان وصل شده و چون دسترسی کامل فول داشته ،فولدری را پاک کرده است. چطور میتونم یوزر اون شخص شناسایی کنم؟
3 پاسخ
همونطور که دوست عزیزم گفتند، باید قابلیت auditing روی اون فولدر فعال بوده باشه تا بتونید با جزئیات کامل رد اون یوزر رو بزنید. این موضوع مربوط به لاگ های ثبت شده روی پلت فرم ویندوز و سیستم عامل میزبان اون فولدر میشه....
در غیر اینصورت....
از طرفی اگه سازمان شما از فایروال و تجهیزاتی نظیر اون استفاده میکنه (و یا اگه VPN سرور دارید) براحتی میتونید از لاگ های روی این دیوایس ها متوجه بشید که در بازه زمانی مورد نظر چه کسانی از بیرون سازمان به داخل لاگین موفق داشتند و یا VPN زدند.
البته تمام این حرفا مستلزم اینه که قبل از این موضوع شما تمهیدات لازم برای روبرو شدن با چنین رخدادهایی رو اندیشیده باشید.
خلاصه این که باید از شواهد موجود استفاده کنید و با ضریب بالایی اون ها رو بهم ربط بدید و با کامل کردن پازل، سناریو و نحوه دسترسی اون یوزر به فولدر رو مشخص کنید و بقول معروف مچ اون یوزر رو بگیرید.
سلام ممنون از کمکتون. با راهنمایی شما قابلیت audit در gp فعال کردم و مشکل حل شد. بازم تشکر میکنم از توجتون
ITPRO ی عزیز شما برای این کار لازمه که قابلیت Auditing را فعال کرده باشید و یا از نرم افزار های جانبی استفاده کرده باشید که امکان لاگ برداشتن داشته باشه ! آیا این تنظیمات را از قبل برای فولدر مورد نظر فعال کرده بودید ؟