[HaBo]

White Snake

Anzeige

Hallo,

habe folgende Frage. In unserem Firmennetzwerk sind standardmäßig die Administrative freigaben belassen worden, dies soll auch so bleiben. Jedoch würde es mich brennend interessieren, wenn und wann jemand (also auch ein Admin) sich auf meinen Rechner verbindet. Zum Beispiel über die Benutzerfreigabe auf das Laufwerk, was ja per UNC-Syntax kein Hexenwerk ist. Ich kann zwar wenn ich über den ServerManager gehe sehen welcher Benutzer sich verbunden hat und auch welche Resourcen er geöffnet hat, aber ich möchte gerne informiert werden wann das passiert. Schließlich schaue ich nicht alle paar Sekunden in den Servermanager und die Freigabe möchte ich auch nicht beenden, da die Softwareverteilung per SMS läuft etc.

Gibt es ein Tool oder ein Script das im Hintergrund mitläuft und sobald sich jemand auf meine Festplatte zugreifen will, erscheint ein Popup mit Benutzername, IP, Datei auf die er zugreift und mit welchem Programm der Zugriff erfolgt (z.B. Dameware etc.)

Gruß

Prometheus

Das Ereignisprotokoll, schreibt das meines Wissen alles mit.

DaBone

Interessant... Das würde mich bei einem persönlichen Problem weiterbringen...
Deshalb würde mich interessieren, wo das Ereignisprotokoll gespeichert ist! Ich hab schon gegoogled, aber nichts vernünftiges gefunden.
Ist das Ereignisprotokoll in %windir%/security/logs ? Oder sind das andere Logfiles?
Schon jetzt danke für die Antwort!

Prometheus

Unter Arbeitsplatz(Rechtsklick) - Verwalten - Ereignisanzeige - Sicherheit. Dort sind alle Verbindungen zu deinen Rechner aufgezeichnet( falls bei dir das Sicherheitsprotokoll aktiviert ist), die du ja brauchst um auf Ordner zuzugreifen..

DaBone

Danke.
Noch zu meiner vorherigen Vermutung (vielleicht will die ja noch jemand erklärt haben ?() Die in dem von mir angegebenen Verzeichnis scheinen irgendwelche Konfigurations-Logs zu sein. Bei uns in der Schule sind die frei zugänglich. In einem der Files steht dann z.B.: "Benutzer mit Administrationsrechten hat sich gerade angemeldet. (...) Konfigurieren von "HKEY_LOCAL_MACHINE/..." ... abgeschlossen" und ähnliches. Seltsam
Aber sonst ist alles schön sorgfältig gesperrt, man kann an den PCs kaum etwas "schlimmes" machen.

White Snake

Na, ich bin da noch nicht so ganz zufrieden. Wenn jemand eine Remotesteuerung zum Beispiel über SMS, Dameware, VNC, RDP oder ähnliches macht, ok dass wird geloggt, aber ein Festplattenzugriff nicht. Ausserdem erfolgt keine automatische Information an den eingeloggten Benutzer. Ich würde aber sehr gern Zeitnahe Informationen über den Zugriff haben. Auch wenn er sich nur den Inhalt des Laufwerks C anschaut.

Übrigens DaBone,

das Log liegt bei mir Beispielsweise auf: C:\WINNT\System32\config\SecEvent.Evt
C:\WINNT\system32\config\SysEvent.Evt und
C:\WINNT\system32\config\AppEvent.Evt

den Pfad bekommt man heraus, wenn man in der Ereignisanzeige auf die Protokolle mit der rechten Maustaste klickt und Eigenschaften wählt.(zumindest bei w2k)



Kennt denn keiner hier ein Proggie oder ein Script dass die Netzwerkszugriffe überwacht, protokolliert und auch noch den lokalen Benutzer informiert???

Prometheus

@DaBone
Registry - Einträge werden meistens gemacht um vom Server ausgegebene Betriebssystemeinstellungen über alle Rechner per Registryeinträge zu geben. Dazu können die Rechner so eingestellt werden, das Sie sich die Registryschlüssel von einer Serverfreigabe anfügen. Der Nutzen der sich daraus ergibt, kann sich z.B. darauf belangen wie der Benutzer angemeldet wird, was für Programmeinitialisiert werden usw.

@White Snake
Vielleicht helfen dir in so einem Fall Monitorprogramme weiter, die jeden Zugriff speichern können.

DaBone

danke @ Prometheus und White Snake.
In den Logs stehen aber nicht nur Registry-Einträge, sondern auch andere Dateien auf der Festplatte die konfiguriert werden.
Naja egal so eine grosse Rolle spielt das nicht.
Sind eigentlich die Registry-Einträge auch ohne regedit.exe editierbar? Denn so könnte ich cmd und all den Kram in der Schule reaktivieren. (Wie das geht weiss ich, aber ich weiss nicht wie ich die Registry aktivieren kann)
Gibt es da z.B. verbesserte registry editoren, die man auch als Normaluser (= nicht Admin) ausführen kann?
Danke schon im voraus.

edit: würde das z.B. damit funktionieren?

m0r71

@dabone
also dazu müssten wir wissen welches os auf den system läuft, also, sonst könntest du das auf cd oder usb-stick packen und von dort aus starten, müsste wegen treiber unter xp funzen.
oder wenn die möglichkeit besteht, boote von einer livedisc mit linux zum beispiel morphix und bearbeite von da aus, die einstellungen auf der winfesplatte