Windows Server – Auditing file share NTFS

Come configurare le policy di controllo e l'auditing sulle cartelle condivise per registrare chi crea, modifica, elimina o rinomina i file, e come trasformare il registro di sicurezza in un report HTML interattivo

Obiettivo: registrare sul file server chi ha creato, modificato, eliminato o rinominato un file e quando, usando l'auditing integrato in Windows Server, senza installare software di terze parti.

La guida mostra come abilitare le policy di controllo tramite GPO, impostare l'auditing sulle cartelle da monitorare, leggere gli eventi nel Visualizzatore eventi e analizzarli con lo script PowerShell Analizza-Evtx.ps1, che genera un report HTML con ricerca, filtri e grafico temporale.

Indice

• 1. Come funziona l'auditing dei file
• 2. Abilitare le policy di controllo
• 3. Configurare l'auditing sulle cartelle
• 4. Leggere gli eventi nel registro di sicurezza
  • Dimensione del registro di sicurezza
• 5. Esportare il registro in un file .evtx
• 6. Analizzare gli eventi con lo script Analizza-Evtx.ps1
  • Avvio e selezione del log
  • Il report HTML
  • Download dello script
• 7. Riepilogo e risoluzione dei problemi
  • Problemi frequenti

1. Come funziona l'auditing dei file

L'auditing dei file funziona su due livelli, entrambi necessari:

• le policy di controllo (criteri di controllo avanzati) indicano a Windows quali categorie di eventi registrare, ad esempio gli accessi al file system;
• la SACL (System Access Control List) di una cartella indica quali utenti e quali operazioni controllare su quella cartella e sul suo contenuto.

Se manca uno dei due livelli nel registro di sicurezza non compare nulla: la policy da sola non registra accessi finché sulla cartella non è presente una voce di controllo, e la voce di controllo viene ignorata se la policy è disattivata.

2. Abilitare le policy di controllo

Apri Gestione Criteri di gruppo e modifica una GPO collegata all'unità organizzativa che contiene il file server (su un server non in dominio usa secpol.msc). Il percorso è:

Configurazione computer > Criteri > Impostazioni di Windows > Impostazioni sicurezza > Configurazione avanzata dei criteri di controllo > Criteri di controllo > Accesso agli oggetti

Abilita le seguenti sottocategorie con Esito positivo ed Esito negativo:

Le più importanti sono le prime due. Controlla File system è indispensabile anche per lo script della sezione 6, perché genera gli eventi 4663 e 4660.

Applica la GPO e verifica la configurazione sul file server da un prompt dei comandi con privilegi amministrativi:

gpupdate /force
auditpol /get /category:"{6997984A-797A-11D9-BED3-505054503030}"

Il secondo comando mostra lo stato delle sottocategorie di Accesso agli oggetti: il GUID rende il comando indipendente dalla lingua del sistema operativo.

3. Configurare l'auditing sulle cartelle

Questa è la parte fondamentale. Apri le Proprietà della cartella da monitorare, ad esempio la cartella principale della condivisione, e segui questi passaggi:

1. vai su Sicurezza > Avanzate > Controllo;
2. clicca Aggiungi e poi Seleziona un'entità;
3. inserisci il gruppo da controllare: Everyone per registrare le attività di tutti gli utenti, oppure un gruppo specifico;
4. in Tipo seleziona Esito positivo e in Si applica a La cartella selezionata, le sottocartelle e i file;
5. se necessario clicca Mostra autorizzazioni avanzate, seleziona le voci della tabella seguente e conferma con OK in tutte le finestre.

Se vuoi individuare anche i tentativi non autorizzati, imposta Tipo su Tutto: vengono registrati sia gli esiti positivi sia quelli negativi.

Nell'esempio della Figura 2 la voce di controllo è impostata con Controllo completo e Tipo Tutto: registra ogni operazione, letture comprese, ed è la configurazione più completa ma anche quella che genera più eventi. Per tracciare solo le modifiche limita la selezione alle voci della tabella. L'opzione Applica queste impostazioni di controllo solo agli oggetti e/o contenitori all'interno di questo contenitore va lasciata disattivata, così il controllo si estende a tutte le sottocartelle.

In alternativa la stessa voce di controllo si può aggiungere con Windows PowerShell 5.1, eseguito come amministratore sul file server. Il diritto Write comprende Creazione file/Scrittura dati, Creazione cartelle/Aggiunta dati, Scrittura attributi e Scrittura attributi estesi; ChangePermissions e TakeOwnership corrispondono a Cambia autorizzazioni e Diventa proprietario:

$cartella = "D:\Condivisioni\Dati"

# Everyone indicato tramite SID, indipendente dalla lingua del sistema
$everyone = New-Object System.Security.Principal.SecurityIdentifier("S-1-1-0")
$diritti  = "Write, Delete, DeleteSubdirectoriesAndFiles, ChangePermissions, TakeOwnership"

$regola = New-Object System.Security.AccessControl.FileSystemAuditRule(
    $everyone, $diritti, "ContainerInherit, ObjectInherit", "None", "Success")

# Legge e riscrive solo la sezione di controllo (SACL), senza toccare le autorizzazioni
$dir = Get-Item -LiteralPath $cartella
$acl = $dir.GetAccessControl([System.Security.AccessControl.AccessControlSections]::Audit)
$acl.AddAuditRule($regola)
$dir.SetAccessControl($acl)

# Verifica
(Get-Acl -LiteralPath $cartella -Audit).Audit |
    Format-Table IdentityReference, FileSystemRights, AuditFlags, InheritanceFlags

4. Leggere gli eventi nel registro di sicurezza

Gli eventi vengono scritti nel registro Sicurezza: apri Visualizzatore eventi > Registri di Windows > Sicurezza (eventvwr.msc). Gli ID evento principali sono:

L'evento da monitorare principalmente è il 4663: permette di ricostruire le operazioni eseguite sui file perché riporta l'utente (Nome account e Dominio account), il percorso completo (Nome oggetto), il processo e la maschera di accesso, che indica il tipo di operazione. Il 4660 segnala un'eliminazione ma non contiene il percorso: va collegato al 4663 che lo precede tramite l'ID handle. Lo script della sezione 6 esegue questa correlazione in automatico.

Per limitare la visualizzazione usa Filtra registro corrente nel riquadro Azioni e indica gli ID, ad esempio 4663,4660. Da PowerShell:

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4663, 4660 } -MaxEvents 50 |
    Select-Object TimeCreated, Id, Message | Format-List

Dimensione del registro di sicurezza

Con l'auditing attivo il registro si riempie velocemente e, con l'impostazione predefinita Sovrascrivi eventi se necessario, gli eventi più vecchi vengono persi. Aumenta la dimensione massima (es. 4 GB) dalle Proprietà del registro oppure da riga di comando:

wevtutil sl Security /ms:4294967296

Sui server in dominio è preferibile impostare la dimensione dalla GPO, nella sezione Registro eventi delle Impostazioni sicurezza.

5. Esportare il registro in un file .evtx

Per analizzare gli eventi su un altro computer, o per conservarli, esporta il registro: clic destro su Sicurezza > Salva tutti gli eventi con nome… e scegli il formato File eventi (.evtx).

Da riga di comando puoi esportare solo gli eventi utili allo script, ottenendo un file molto più piccolo:

wevtutil epl Security C:\Temp\audit-file.evtx /q:"*[System[(EventID=4663 or EventID=4660)]]"

6. Analizzare gli eventi con lo script Analizza-Evtx.ps1

Consultare migliaia di eventi 4663 nel Visualizzatore eventi è poco pratico. Lo script Analizza-Evtx.ps1 legge gli eventi 4663 e 4660 da un file .evtx o direttamente dal registro di sicurezza del server, li classifica per tipo di operazione e genera un report HTML autonomo, consultabile con qualsiasi browser e senza dipendenze esterne. In particolare lo script:

• classifica ogni operazione in base alla maschera di accesso (tabella seguente);
• collega gli eventi 4660 (eliminazione) al percorso del file tramite l'ID handle;
• raggruppa in una sola riga gli eventi identici (stesso utente, percorso, azione e processo) nello stesso minuto, indicandone il numero;
• esclude per impostazione predefinita le letture di metadati e permessi, che rappresentano gran parte del volume ma raramente sono utili.

Se una maschera contiene più diritti, prevale il primo nell'ordine della tabella. Prerequisiti:

• Windows PowerShell 5.1 oppure PowerShell 7 su Windows;
• per leggere il registro di sicurezza attivo, una sessione PowerShell avviata come amministratore;
• per analizzare un file .evtx esportato bastano i permessi di lettura sul file: l'analisi può essere eseguita anche su un PC diverso dal server.

Avvio e selezione del log

Salva lo script in una cartella, ad esempio C:\Script (il download è in fondo alla sezione), apri PowerShell come amministratore e avvialo:

cd C:\Script
.\Analizza-Evtx.ps1 -ApriReport

Senza il parametro -PercorsoEvtx si apre una finestra in cui scegliere la sorgente degli eventi:

• Log di sicurezza attuale di questo server: il registro attivo C:\Windows\System32\winevt\Logs\Security.evtx. Il file è bloccato dal servizio Registro eventi, quindi lo script lo legge tramite il canale Security: per questo servono i privilegi di amministratore;
• File .evtx selezionato manualmente: un registro esportato (sezione 5) o archiviato, da scegliere con Sfoglia….

Durante l'analisi la console mostra l'avanzamento ogni 100.000 eventi; al termine riporta il percorso del report e il riepilogo delle operazioni per tipo. Con -ApriReport il report si apre nel browser predefinito. I parametri disponibili sono:

# Analisi di un file esportato, senza finestra di selezione
.\Analizza-Evtx.ps1 -PercorsoEvtx C:\Temp\audit-file.evtx -ApriReport

# Solo scritture, eliminazioni e modifiche, con un report dal nome personalizzato
.\Analizza-Evtx.ps1 -EscludiLetture -PercorsoReport .\Report_Modifiche.html

Il report HTML

Il report è un unico file HTML che contiene dati, grafico e codice: si può archiviare, inviare via email o aprire su un altro computer.

• indicatori in alto: operazioni totali, file coinvolti, utenti, scritture/modifiche ed eliminazioni/rinomine, aggiornati in base ai filtri;
• ricerca libera su percorso, utente e processo, ad esempio .pdf o il nome di una cartella;
• filtri per utente, tipo di azione e intervallo di date;
• grafico temporale per ora o per giorno: un clic su una barra filtra quel periodo;
• tabella ordinabile cliccando sull'intestazione delle colonne, con 100 righe per pagina;
• Esporta CSV delle righe filtrate, con separatore punto e virgola, apribile direttamente in Excel.

Download dello script

Dopo l'estrazione sblocca il file, che Windows segnala come scaricato da Internet, ed esegui lo script come descritto in Avvio e selezione del log:

Unblock-File C:\Script\Analizza-Evtx.ps1

7. Riepilogo e risoluzione dei problemi

Problemi frequenti