Добрый день!
40 компов. Кто-то создал архив на сетевом диске и похоже сливает инфу. Как узнать кто создал архив? https://s.mail.ru/CesNGHozw4w2/img-2015-12-08-10-41-23.png

(0) Никак, если не используются аудит папок.

(0) Терморектальный криптоанализ.

(0) Кто владелец файла?

(1) Удобная, надёжная и созданная профессионалами Windows не умеет логировать подключенные сеансы?

Я бы заглянул вы содержимое, определил бы данные самого "молодого" файла, уменьшив круг подозреваемых.

черным по белому написано "владелец: Администраторы", вот с них и спрашивайте...

а если они дебилы и дают юзерам права админов - это их проблемы

Да и дата создания есть. Значительная часть народа курит в это время или пьёт кофе в столовке.

а вообще есть дата изменения - вот по ней нужно сеять логи винды

(7) Так есть лог кто подключался к расшаренной папке?

(8) есть лог входа на сервер, по ним для начала надо выкинуть людей кто был расконектен в это время

(9) Это если удаленный рабочий стол открывать или даже при подключении к расшаренной папке?

Просто интересно, на будущее

(4) Допустим - логирует, где посмотреть прикажете?
(3) Можно посмотреть метаданные файлов.

А уменьшение круга подозреваемых ничего не даст.

Выполнена попытка входа в систему с явным указанием учетных данных.

Субъект:
    ИД безопасности:        **
    Имя учетной записи:        **
    Домен учетной записи:        **
    Код входа:        0x42f42446
    GUID входа:        {00000000-0000-0000-0000-000000000000}

(10) для файловых шар - это первое обращение к ресурсу или подключение сетевого диска

для терминалов - вход

(13) Спс. Буду знать.

Если аудит подключений не включен - не будет ничего. (4)
По RDP отслеживается автоматом логирование, но тут речь идет о сетевой папке.

В групповой политике включаете аудит на

Computer Configuration > Windows Settings > Security Settings > Audit policy
Включаете Параметр Audit object access ()
Success и Failure (или что вам больше подходит)

Потом свойства нужной вам папки
Вкладка Security > Advanced > Audit

Добавить пользователя или группу для которой включить аудит
И выбираете какой доступ будет подвержен аудиту.

Просмотр аудита в журнале Security

а вообще - это повод перейти на 1с+SQL...

Вопрос: это умные звери или тупые админы? :)

(17) Настроил отбор в списке, вывод списка и файл xls уволок.

(19) Взял смартфон и сфотал.

(20) Как вариант.
И, вообще, где написано, что ТС использует 1С?

(21)
Или по телефону продиктовал.
Скриншот сделал.
Да много ли способов унести данные.

(19)(20) у автора база в архиве - 10 гигов, это в любом случае повод перейти на сервер.

а теперь представьте сколько нужно фоткать что-бы заснять хотя-бы 20% такой базы? ну а про вывод - его можно и запретить всем кому не нужно печатать (например операторам)

(23) >>>а теперь представьте сколько нужно фоткать что-бы заснять хотя-бы 20% такой базы?

Снять на видео )).

(24) ну есть у тебя видио и чего ты с ним будешь делать? как построишь АБС анализ по контрагентам?

или ты по видео будешь все вбивать в чистую базу???

стоимость такого слива стремится к нулю.

(25) Шуткуем же.
Но каждый день фотать на телефон, распознать потом в ABBYY - не вопрос вообще.

(26) все равно стоимость такого слива будет превышать стоимость базы...

я всегда говорил, что вопросы защиты нужно начинать с 3х определений

1. объект защиты (например база)
2. периметр защиты (например сервер, или локалка)
3. стоимость объекта за пределами периметра (сколько злодеи готовы заплатить за перемещение объекта за периметр)

как только защита обеспечивает финансовые затраты злоумышленника большие чем он готов заплатить, защита может считатся эффективной.

Владелец файла группа "Администраторы", значит тот, кто создал этот файл является администратором на компе. Если это ограниченный круг лиц, то провести беседу с каждым отдельно. Если все подряд являются администраторами, то тут ТСу ничто не поможет. Так как означает, что в организации даже минимальных настроек безопасности не сделано, что уж там говорить о каких-то логах и аудите.

нашли. Пользователь один новопринятый решил дома посмотреть что-почем. У него админские права.

просто на экран заглянули

Хм... у новопринятого админские права...
Хочу работать в ваше организации )))

(31) а представь если там еще и ЗП платят!!!

(23) Как определил, что там 1С база?

А может там .bak выгрузузка из SQL?

По данным (0) ничего сказать нельзя!

(29) как выявили то виновника ?

спалили с диском сидела качала на него

(0)Во вкладке безопасность посмотри владельца.

Бардак в стране... Диски пользователи подключают, сидят не в местах отсидки...