本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。
使用檔案存取稽核記錄使用者存取
Amazon Windows 檔案伺服器支援稽核最終使用者FSx對檔案、資料夾和檔案共用的存取。您可以選擇將檔案系統的稽核事件記錄傳送至其他提供豐富功能的 AWS 服務。其中包括啟用查詢、處理、儲存和封存記錄、發出通知,以及觸發動作,以進一步推進您的安全性與合規目標。
如需有關使用檔案存取稽核取得存取模式的深入資訊,並針對使用者活動實作安全性通知,請參閱檔案儲存存取模式深入解析
注意
只有在輸送量為 32 MBps 或以上FSx的 Windows 檔案系統上才支援檔案存取稽核。您可以修改現有檔案系統上的輸送量容量。如需詳細資訊,請參閱管理 Windows 檔案伺服器檔案系統FSx的輸送量容量。
檔案存取稽核可讓您根據您定義的稽核控制,記錄使用者對個別檔案、資料夾和檔案共用的存取。稽核控制也稱為NTFS系統存取控制清單 (SACLs)。如果您已經在現有檔案資料上設定了稽核控制,則可以建立新的 Amazon Windows File Server 檔案系統並移轉資料,以利FSx用檔案存取稽核。
Amazon 針對檔案、資料夾和檔案共用存取FSx支援下列 Windows 稽核事件:
對於文件訪問,它支持:全部,遍歷文件夾/執行文件,列出文件夾/讀取數據,讀取屬性,創建文件/寫入數據,創建文件夾/附加數據,寫入屬性,刪除子文件夾和文件,刪除,讀取權限,更改權限和獲取所有權。
對於文件共享訪問,它支持:Connect 到文件共享。
Amazon FSx 支援跨檔案、資料夾和檔案共用存取記錄成功的嘗試記錄 (例如擁有足夠權限的使用者成功存取檔案或檔案共用)、嘗試失敗或兩者皆可。
您可以設定是否只要對檔案和資料夾、僅對檔案共用或兩者進行存取稽核。您也可以設定應記錄哪些類型的存取 (僅限成功嘗試、僅嘗試失敗,或兩者皆記錄)。您也可以隨時關閉檔案存取稽核。
注意
檔案存取稽核只會記錄一般使用者在啟用資料之後的存取資料。也就是說,檔案存取稽核不會產生在啟用檔案存取稽核之前所發生之使用者檔案、資料夾和檔案共用存取活動的稽核事件記錄。
支援的最大存取稽核事件速率為每秒 5,000 個事件。不會針對每個檔案讀取和寫入作業產生存取稽核事件,而是在每個檔案中繼資料作業 (例如使用者建立、開啟或刪除檔案時) 產生一次。
稽核事件記錄目的地
啟用檔案存取稽核時,必須設定 Amazon 向其FSx傳送稽核事件日誌的 AWS 服務。您可以將稽核事件日誌傳送到 CloudWatch 日誌日誌群組中的 Amazon CloudWatch 日誌串流或 Amazon 資料 Firehose 交付串流。您可以在建立 Amazon FSx Windows 檔案伺服器檔案系統時,或在更新現有檔案系統後隨時選擇稽核事件日誌目的地。如需詳細資訊,請參閱管理檔案存取稽核。
以下是一些建議,可協助您決定要選擇哪些稽核事件記錄檔目的地:
-
如果您要在 Amazon CloudWatch 主控台中存放、檢視和搜尋稽核事件日誌,請選擇「 CloudWatch 記錄檔」、使用 CloudWatch 日誌深入解析在日誌上執行查詢,以及觸發 CloudWatch 警示或 Lambda 函數。
-
如果您想要將事件持續串流到 Amazon S3 中的儲存、Amazon Redshift 中的資料庫、亞馬遜 OpenSearch 服務,或是將事件連續串流至 AWS 合作夥伴解決方案 (例如 Splunk 或 Datadog) 以進行進一步分析,請選擇 Amazon 資料 Firehose。
根據預設,Amazon FSx 會在您的帳戶中建立並使用預設的 CloudWatch 日誌日誌群組作為稽核事件日誌目的地。如果您想要使用自訂 CloudWatch 記錄檔記錄群組或使用 Firehose 做為稽核事件記錄目的地,以下是稽核事件記錄目標的名稱和位置的需求:
-
CloudWatch 記錄檔記錄群組的名稱必須以
/aws/fsx/
前置詞開頭。如果在主控台上建立或更新檔案系統時沒有現有的 CloudWatch 日誌日誌群組,Amazon FSx 可以在日誌日誌群組中建立和使用預設 CloudWatch 日/aws/fsx/windows
誌串流。如果您不想使用預設的記錄群組,設定 UI 可讓您在主控台上建立或更新檔案系統時,建立 CloudWatch 記錄檔記錄群組。 -
Firehose 傳送串流的名稱必須以
aws-fsx-
字首開頭。如果您沒有現有的 Firehose 傳遞串流,您可以在主控台建立或更新檔案系統時建立一個串流。 -
Firehose 傳送串流必須設定
Direct PUT
為使用作為其來源。您無法使用現有的 Kinesis 資料串流作為交付串流的資料來源。 -
目的地 ( CloudWatch 日誌記錄群組或 Firehose 交付串流) 必須與 AWS 帳戶 Amazon FSx 檔案系統位於同一個 AWS 分割區中。 AWS 區域
您可以隨時變更稽核事件記錄目的地 (例如,從 CloudWatch 記錄檔變更為 Firehose)。當您這麼做時,新的稽核事件記錄只會傳送至新的目的地。
最好的工作審核事件日誌傳遞
稽核事件記錄通常會在幾分鐘內傳遞至目的地,但有時候可能需要更長的時間。在極少數情況下,稽核事件記錄可能會遺漏。如果您的使用案例需要特定的語意 (例如,確保沒有遺漏稽核事件),建議您在設計工作流程時將遺漏的事件列入考量。您可以掃描檔案系統上的檔案和資料夾結構來稽核遺漏的事件。
遷移稽核控制項
如果您已在現有檔案資料上設定稽核控制 (SACLs),則可以建立 Amazon FSx 檔案系統並將資料遷移到新的檔案系統。我們建議使 AWS DataSync 用傳輸資料以及與 Amazon FSx 檔案系統相關聯SACLs的資料。作為替代解決方案,您可以使用 Robocopy(強大的文件複製)。如需詳細資訊,請參閱將現有檔案儲存遷移到 Amazon FSx。
檢視事件記錄
您可以在 Amazon FSx 開始發送稽核事件日誌後檢視它們。檢視記錄的位置和方式取決於稽核事件記錄檔目的地:
-
您可以前往 CloudWatch 主控台並選擇要傳送稽核事件記 CloudWatch 錄檔的記錄群組和記錄資料流,以檢視記錄檔記錄。如需詳細資訊,請參閱 Amazon CloudWatch 日誌使用者指南中的檢視傳送至 CloudWatch 日誌的日誌資料。
您可以使用 CloudWatch 日誌深入解析,以互動方式搜尋和分析記錄資料。如需詳細資訊,請參閱 Amazon CloudWatch 日誌使用者指南中的使用日誌洞察分析 CloudWatch 日誌資料。
您也可以將稽核事件日誌匯出到 Amazon S3。如需詳細資訊,請參閱 Amazon CloudWatch 日誌使用者指南中的將日誌資料匯出到 Amazon S3。
-
您無法在 Firehose 上檢視稽核事件記錄檔。不過,您可以設定 Firehose 將記錄檔轉寄至您可以讀取的目的地。目的地包括 Amazon S3、Amazon Redshift、Amazon OpenSearch 服務以及合作夥伴解決方案,例如 Splunk 和 Datadog。如需詳細資訊,請參閱 Amazon 資料 Firehose 開發人員指南中的選擇目的地。
稽核事件欄位
本節提供稽核事件記錄檔中資訊的說明,以及稽核事件範例。
以下是 Windows 稽核事件中重要欄位的描述。
-
事件 ID 是指微軟定義的視窗事件記錄檔事件識別碼。如需檔案系統事件和檔案共用事
件的相關資訊,請參閱 Microsoft 文件 。 -
SubjectUserName指執行存取的使用者。
-
ObjectName指的是存取的目標檔案、資料夾或檔案共用。
-
ShareName可用於針對檔案共用存取產生的事件。例如,
EventID 5140
在存取網路共用物件時產生。 -
IpAddress是指針對檔案共用事件起始事件的用戶端。
-
關鍵字(如果可用)是指文件訪問成功還是失敗。對於成功的訪問,值是
0x8020000000000000
。對於失敗的存取,值為0x8010000000000000
。 -
TimeCreated SystemTime指事件在系統中產生並以 < YYYY-MM——DDThh: mm: ss.>Z 格式顯示的時間。
-
電腦是指檔案系統 Windows 遠 PowerShell 端端點的DNS名稱,可用來識別檔案系統。
-
AccessMask(如果可用) 是指執行的檔案存取類型 (例如, ReadData、 WriteData)。
-
AccessList是指請求或授予對象的訪問權限。如需詳細資訊,請參閱下表和 Microsoft 文件 (例如在事件 4556
中)。
存取類型 | 存取遮罩 | Value |
---|---|---|
讀取資料或清單目錄 |
0x1 |
%%4416 |
寫入資料或新增檔案 |
0x2 |
%%4417 |
附加資料或新增子目錄 |
0X4 |
%%4418 |
讀取延伸屬性 |
0X8 |
%%4419 |
寫入擴充屬性 |
0X10 |
%%4420 |
執行/周轉 |
0X20 |
%%4421 |
刪除子系 |
0X40 |
%%4422 |
讀取屬性 |
0x80 |
%%4423 |
寫入屬性 |
0X100 |
%%4424 |
Delete |
0x10000 |
%%1537 |
阅读 ACL |
0x20000 |
%%1538 |
寫 ACL |
0x40000 |
%%1539 |
寫入擁有者 |
0x80000 |
%%1540 |
同步化 |
0x100000 |
%%1541 |
存取安全性 ACL |
0x1000000 |
%%1542 |
以下是一些具有例子的關鍵事件。請注意,已格XML式化以提高可讀性。
刪除物件時,會記錄事件識別碼 4660。
<Event xmlns='http://schemas.microsoft.com/win/2004/08/events/event'><System> <Provider Name='Microsoft-Windows-Security-Auditing' Guid='{54849625-5478-4994-A5BA-3E3B0328C30D}'/> <EventID>4660</EventID><Version>0</Version><Level>0</Level> <Task>12800</Task><Opcode>0</Opcode> <Keywords>0x8020000000000000</Keywords><TimeCreated SystemTime='2021-05-18T04:51:56.916563800Z'/> <EventRecordID>315452</EventRecordID><Correlation/> <Execution ProcessID='4' ThreadID='5636'/><Channel>Security</Channel> <Computer>amznfsxgyzohmw8.example.com</Computer><Security/></System><EventData> <Data Name='SubjectUserSid'>S-1-5-21-658495921-4185342820-3824891517-1113</Data> <Data Name='SubjectUserName'>Admin</Data><Data Name='SubjectDomainName'>example</Data> <Data Name='SubjectLogonId'>0x50932f71</Data><Data Name='ObjectServer'>Security</Data> <Data Name='HandleId'>0x12e0</Data><Data Name='ProcessId'>0x4</Data><Data Name='ProcessName'></Data> <Data Name='TransactionId'>{00000000-0000-0000-0000-000000000000}</Data></EventData></Event>
刪除檔案的請求會記錄事件識別碼 4659。
<Event xmlns='http://schemas.microsoft.com/win/2004/08/events/event'><System> <Provider Name='Microsoft-Windows-Security-Auditing' Guid='{54849625-5478-4994-A5BA-3E3B0328C30D}'/> <EventID>4659</EventID><Version>0</Version><Level>0</Level><Task>12800</Task><Opcode>0</Opcode> <Keywords>0x8020000000000000</Keywords><TimeCreated SystemTime='2021-0603T19:18:09.951551200Z'/> <EventRecordID>308888</EventRecordID><Correlation/><Execution ProcessID='4' ThreadID='5540'/> <Channel>Security</Channel><Computer>amznfsxgyzohmw8.example.com</Computer><Security/></System> <EventData><Data Name='SubjectUserSid'>S-1-5-21-658495921-4185342820-3824891517-1113</Data> <Data Name='SubjectUserName'>Admin</Data><Data Name='SubjectDomainName'>example</Data> <Data Name='SubjectLogonId'>0x2a9a603f</Data><Data Name='ObjectServer'>Security</Data> <Data Name='ObjectType'>File</Data><Data Name='ObjectName'>\Device\HarddiskVolume8\shar\event.txt</Data> <Data Name='HandleId'>0x0</Data><Data Name='TransactionId'>{00000000-0000-0000-0000-000000000000}</Data> <Data Name='AccessList'>%%1537 %%4423 </Data><Data Name='AccessMask'>0x10080</Data><Data Name='PrivilegeList'>-</Data> <Data Name='ProcessId'>0x4</Data></EventData></Event>
對物件執行特定作業時,會記錄事件識別碼 4663。下面的例子顯示了從一個文件,它可以被解釋讀取數據AccessList %%4416
。
<Event xmlns='http://schemas.microsoft.com/win/2004/08/events/event'><System> <Provider Name='Microsoft-Windows-Security-Auditing' Guid='{54849625-5478-4994-A5BA-3E3B0328C30D}'/> <EventID>4663< /EventID><Version>1</Version><Level>0</Level><Task>12800</Task><Opcode>0</Opcode> <Keywords>0x8020000000000000</Keywords><TimeCreated SystemTime='2021-06-03T19:10:13.887145400Z'/> <EventRecordID>308831</EventRecordID><Correlation/><Execution ProcessID='4' ThreadID='6916'/> <Channel>Security</Channel><Computer>amznfsxgyzohmw8.example.com</Computer><Security/></System> <EventData>< Data Name='SubjectUserSid'>S-1-5-21-658495921-4185342820-3824891517-1113< /Data> <Data Name='SubjectUserName'>Admin</Data><Data Name='SubjectDomainName'>example</Data> <Data Name='SubjectLogonId'>0x2a9a603f</Data><Data Name='ObjectServer'>Security</Data> <Data Name='ObjectType'>File</Data><Data Name='ObjectName'>\Device\HarddiskVolume8\share\event.txt</Data> <Data Name='HandleId'>0x101c</Data><Data Name='AccessList'>%%4416 </Data> <Data Name='AccessMask'>0x1</Data><Data Name='ProcessId'>0x4</Data> <Data Name='ProcessName'></Data><Data Name='ResourceAttributes'>S:AI</Data> </EventData></Event>
下面的例子顯示了從文件,它可以從解釋寫/追加數據。AccessList %%4417
<Event xmlns='http://schemas.microsoft.com/win/2004/08/events/event'><System> <Provider Name='Microsoft-Windows-Security-Auditing' Guid='{54849625-5478-4994-A5BA-3E3B0328C30D}'/> <EventID>4663</EventID><Version>1</Version><Level>0</Level><Task>12800</Task><Opcode>0</Opcode> <Keywords>0x8020000000000000</Keywords><TimeCreated SystemTime='2021-06-03T19:12:16.813827100Z'/> <EventRecordID>308838</EventRecordID><Correlation/><Execution ProcessID='4' ThreadID='5828'/> <Channel>Security</Channel><Computer>amznfsxgyzohmw8.example.com</Computer><Security/></System> <EventData><Data Name='SubjectUserSid'>S-1-5-21-658495921-4185342820-3824891517-1113</Data> <Data Name='SubjectUserName'>Admin</Data><Data Name='SubjectDomainName'>example</Data> <Data Name='SubjectLogonId'>0x2a9a603f</Data><Data Name='ObjectServer'>Security</Data> <Data Name='ObjectType'>File</Data><Data Name='ObjectName'>\Device\HarddiskVolume8\share\event.txt</Data> <Data Name='HandleId'>0xa38</Data><Data Name='AccessList'>%%4417 </Data><Data Name='AccessMask'>0x2</Data><Data Name='ProcessId'>0x4</Data> <Data Name='ProcessName'></Data><Data Name='ResourceAttributes'>S:AI</Data></EventData></Event>
事件識別碼 4656 表示已要求物件的特定存取權。在下列範例中,「讀取」要求初始化為 ObjectName 「最佳」,而且嘗試失敗,如的「關鍵字」值所示。0x8010000000000000
<Event xmlns='http://schemas.microsoft.com/win/2004/08/events/event'><System> <Provider Name='Microsoft-Windows-Security-Auditing' Guid='{54849625-5478-4994-A5BA-3E3B0328C30D}'/> <EventID>4656</EventID><Version>1</Version><Level>0</Level><Task>12800</Task><Opcode>0</Opcode> <Keywords>0x8010000000000000</Keywords><TimeCreated SystemTime='2021-06-03T19:22:55.113783500Z'/> <EventRecordID>308919</EventRecordID><Correlation/><Execution ProcessID='4' ThreadID='4924'/> <Channel>Security</Channel><Computer>amznfsxgyzohmw8.example.com</Computer><Security/></System> <EventData><Data Name='SubjectUserSid'>S-1-5-21-658495921-4185342820-3824891517-1113</Data> <Data Name='SubjectUserName'>Admin</Data><Data Name='SubjectDomainName'>example</Data> <Data Name='SubjectLogonId'>0x2a9a603f</Data><Data Name='ObjectServer'>Security</Data> <Data Name='ObjectType'>File</Data><Data Name='ObjectName'>\Device\HarddiskVolume8\share\permtest</Data> <Data Name='HandleId'>0x0</Data><Data Name='TransactionId'>{00000000-0000-0000-0000-000000000000}</Data> <Data Name='AccessList'>%%1541 %%4416 %%4423 </Data><Data Name='AccessReason'>%%1541: %%1805 %%4416: %%1805 %%4423: %%1811 D:(A;OICI;0x1301bf;;;AU) </Data><Data Name='AccessMask'>0x100081</Data><Data Name='PrivilegeList'>-</Data> <Data Name='RestrictedSidCount'>0</Data><Data Name='ProcessId'>0x4</Data><Data Name='ProcessName'></Data> <Data Name='ResourceAttributes'>-</Data></EventData></Event>
當物件的權限變更時,會記錄事件識別碼 4670。下列範例顯示使用者 [系統管理員] 修改 [權限測試] 上的權限,將權限新增至 ObjectName 「S-1-5-21-6584921-4185342820-3824891517-1113」。SID如需有關如何解譯權限的詳細資訊,請參閱 Microsoft 文件。
<Event xmlns='http://schemas.microsoft.com/win/2004/08/events/event'><System> <Provider Name='Microsoft-Windows-Security-Auditing' Guid='{54849625-5478-4994-A5BA-3E3B0328C30D}'/> <EventID>4670</EventID><Version>0</Version><Level>0</Level> <Task>13570</Task><Opcode>0</Opcode><Keywords>0x8020000000000000</Keywords> <TimeCreated SystemTime='2021-06-03T19:39:47.537129500Z'/><EventRecordID>308992</EventRecordID> <Correlation/><Execution ProcessID='4' ThreadID='2776'/><Channel>Security</Channel> <Computer>amznfsxgyzohmw8.example.com</Computer><Security/></System><EventData> <Data Name='SubjectUserSid'>S-1-5-21-658495921-4185342820-3824891517-1113</Data> <Data Name='SubjectUserName'>Admin</Data><Data Name='SubjectDomainName'>example</Data> <Data Name='SubjectLogonId'>0x2a9a603f</Data><Data Name='ObjectServer'>Security</Data> <Data Name='ObjectType'>File</Data><Data Name='ObjectName'>\Device\HarddiskVolume8\share\permtest</Data> <Data Name='HandleId'>0xcc8</Data> <Data Name='OldSd'>D:PAI(A;OICI;FA;;;SY)(A;OICI;FA;;;S-1-5-21-658495921-4185342820-3824891517-2622)</Data> <Data Name='NewSd'>D:PARAI(A;OICI;FA;;;S-1-5-21-658495921-4185342820-3824891517-1113)(A;OICI;FA;;;SY)(A;OICI;FA;;; S-1-5-21-658495921-4185342820-3824891517-2622)</Data><Data Name='ProcessId'>0x4</Data> <Data Name='ProcessName'></Data></EventData></Event>
每次存取檔案共用時,都會記錄事件識別碼 5140。
<Event xmlns='http://schemas.microsoft.com/win/2004/08/events/event'><System> <Provider Name='Microsoft-Windows-Security-Auditing' Guid='{54849625-5478-4994-A5BA-3E3B0328C30D}'/> <EventID>5140</EventID><Version>1</Version><Level>0</Level><Task>12808</Task><Opcode>0</Opcode> <Keywords>0x8020000000000000</Keywords><TimeCreated SystemTime='2021-06-03T19:32:07.535208200Z'/> <EventRecordID>308947</EventRecordID><Correlation/><Execution ProcessID='4' ThreadID='3120'/> <Channel>Security</Channel><Computer>amznfsxgyzohmw8.example.com</Computer><Security/></System> <EventData><Data Name='SubjectUserSid'>S-1-5-21-658495921-4185342820-3824891517-2620</Data> <Data Name='SubjectUserName'>EC2AMAZ-1GP4HMN$</Data><Data Name='SubjectDomainName'>example</Data> <Data Name='SubjectLogonId'>0x2d4ca529</Data><Data Name='ObjectType'>File</Data><Data Name='IpAddress'>172.45.6.789</Data> <Data Name='IpPort'>49730</Data><Data Name='ShareName'>\\AMZNFSXCYDKLDZZ\share</Data> <Data Name='ShareLocalPath'>\??\D:\share</Data><Data Name='AccessMask'>0x1</Data><Data Name='AccessList'>%%4416 </Data></EventData></Event>
在檔案共用層級拒絕存取時,會記錄事件識別碼 5145。下面的例子顯示了訪問 ShareName 「demoshare01」被拒絕。
<Event xmlns='http://schemas.microsoft.com/win/2004/08/events/event'><System> <Provider Name='Microsoft-Windows-Security-Auditing' Guid='{54849625-5478-4994-A5BA-3E3B0328C30D}'/> <EventID>5145</EventID><Version>0</Version><Level>0</Level> <Task>12811</Task><Opcode>0</Opcode><Keywords>0x8010000000000000</Keywords> <TimeCreated SystemTime='2021-05-19T22:30:40.485188700Z'/><EventRecordID>282939</EventRecordID> <Correlation/><Execution ProcessID='4' ThreadID='344'/><Channel>Security</Channel> <Computer>amznfsxtmn9autz.example.com</Computer><Security/></System><EventData> <Data Name='SubjectUserSid'>S-1-5-21-658495921-4185342820-3824891517- 1113</Data><Data Name='SubjectUserName'>Admin</Data><Data Name='SubjectDomainName'>example</Data> <Data Name='SubjectLogonId'>0x95b3fb7</Data><Data Name='ObjectType'>File</Data> <Data Name='IpAddress'>172.31.7.112</Data><Data Name='IpPort'>59979</Data> <Data Name='ShareName'>\\AMZNFSXDPNTE0DC\demoshare01</Data><Data Name='ShareLocalPath'>\??\D:\demoshare01</Data> <Data Name='RelativeTargetName'>Desktop.ini</Data><Data Name='AccessMask'>0x120089</Data> <Data Name='AccessList'>%%1538 %%1541 %%4416 %%4419 %%4423 </Data><Data Name='AccessReason'>%%1538: %%1804 %%1541: %%1805 %%4416: %%1805 %%4419: %%1805 %%4423: %%1805 </Data></EventData></Event>
如果您使用 CloudWatch Logs Insights 搜尋記錄資料,您可以在事件欄位上執行查詢,如下列範例所示:
-
若要查詢特定事件 ID:
fields @message | filter @message like /4660/
-
若要查詢符合特定檔案名稱的所有事件:
fields @message | filter @message like /event.txt/
如需 CloudWatch 日誌見解查詢語言的詳細資訊,請參閱 Amazon Logs 使用者指南中的「利用 CloudWatch 日誌洞察分析 CloudWatch 日誌資料」。