ファイルとフォルダの監査コントロールの設定

ユーザーアクセスの試行を監査するファイルおよびフォルダーに、監査コントロールを設定する必要があります。監査コントロールは、NTFSシステムアクセスコントロールリスト () とも呼ばれますSACLs。

監査コントロールは、Windows ネイティブGUIインターフェイスを使用するか、Windows PowerShell コマンドを使用してプログラムで設定します。継承が有効になっている場合は通常、アクセスをログに記録する最上位フォルダに対してのみ監査コントロールを設定する必要があります。

Windows GUIを使用して監査アクセスを設定する

を使用してファイルとフォルダの監査コントロールGUIを設定するには、Windows File Explorer を使用します。特定のファイルまたはフォルダで、Windows ファイルエクスプローラを開き、[Properties] (プロパティ) > [Security] (セキュリティ) > [Advanced] (詳細設定) > Auditing] (監査) タブを選択します。

次の監査コントロールの例では、フォルダの成功したイベントを監査します。Windows イベントログエントリは、そのハンドルが読み取りのため、管理者ユーザーによって正常に開かれるたびに発行されます。

[Type] (タイプ) フィールドは、監査するアクションを示します。成功した試みを監査するにはこのフィールドを [Success] (成功) に、失敗した試みを監査するには [Fail] (失敗) に、成功と失敗の両方の試みを監査するには [All] (すべて) に設定します。

監査エントリフィールドの詳細については、Microsoft ドキュメントの「ファイルまたはフォルダに基本的な監査ポリシーを適用する」を参照してください。

PowerShell コマンドを使用した監査アクセスの設定

Microsoft Windows Set-Acl コマンドを使用して、任意のファイルまたはフォルダSACLに監査を設定できます。このコマンドの設定の詳細については、「Microsoft の Set-Acl ドキュメント」を参照してください。

以下は、一連の PowerShell コマンドと変数を使用して、成功した試行の監査アクセスを設定する例です。これらのサンプルコマンドは、ユーザーのファイルシステムのニーズに合わせて調整できます。

$path = "C:\Users\TestUser\Desktop\DemoTest\"

$ACL = Get-Acl $path

$ACL | Format-List

$AuditUser = "TESTDOMAIN\TestUser"

$AuditRules = "FullControl"

$InheritType = "ContainerInherit,ObjectInherit"

$AuditType = "Success"

$AccessRule = New-Object System.Security.AccessControl.FileSystemAuditRule($AuditUser,$AuditRules,$InheritType,"None",$AuditType)

$ACL.SetAuditRule($AccessRule)

$ACL | Set-Acl $path

Get-Acl $path -Audit | Format-List