Newsgroup: it.comp.sicurezza.windows
Titolo: E' possibile capire se un file è stato copiato?

Salve a tutti
In un dominio Microsoft (server SBS2003 e client XP Pro) � possibile capire 
se sono stati copiati dei files dalle share di rete su, per dire, una 
chiavetta USB collegata ad uno dei client?
-- 
Skywalker Senior
http://www.christianbisti.net
http://www.flickr.com/photos/skywalkersenior/
 

 chiavetta USB collegata ad uno dei client?
No.

No.
E il RIS di Parma come ha fatto con il PC di Alberto Stasi per il caso di 
Garlasco? :-)


 Garlasco? :-)
Perchï¿œ tu sai che il ris ha appurato che Stasi ha copiato file da una
share di rete su una chiavetta?
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 share di rete su una chiavetta?
Ma io dico, come si puo' anche lontanamente
pensare che Windows tenga il log di tutti i
trasferimenti di file?

 trasferimenti di file?
Anzi, per essere precisi, di tutte le volte che un
file e' stato aperto in lettura... bah...

file e' stato aperto in lettura... bah...
Ci sono software cosi'.
In a pinch, c'e' un papero in giro su Snort & HoneyTokening.
Leonardo
-- 
Linten addie toorin addie,
Linten addie toorin ee,
Linten lowrin lowrin lowrin,
The barnyards of Delgaty

Ci sono software cosi'.
Si, ma ci vorrebbe un HD da 24Tb al giorno solo per memorizzare i log. ;-)

 In a pinch, c'e' un papero in giro su Snort & HoneyTokening.
Si' ma devi averli configurati a priori per loggare tutte questi
accessi ai file... ovvio che ci sono software che lo fanno,
(e generano log enormi appunto)... Ma non e' quello che lui
chiedeva, se non ho capito male... lui chiedeva se e' possibile
capire se e' stato copiato un file da un'installazione normale
in una rete Microsoft, il che e' semplicemente fuori da ogni
logica visto quanti accessi in lettura ai file avvengono
normalmente...






Ma no, si parla di aperture; con una progettazione un po' vispa del
database ogni entry sono 18 byte (6 byte se si fa amm�do).
Un'altra idea potrebbe essere installare un software adatto.
http://www.samba.org/samba/docs/man/manpages-3/vfs_full_audit.8.html


database ogni entry sono 18 byte (6 byte se si fa amm�do).
Anche la semplice LETTURA di un file ne comporta l'apertura.
Hai presente quanti file apre Windows, solo per funzionare?
Se lanci un applicazione (da Word a PhotoShop) il numero cresce
rapidamente. Non parliamo, poi, dei semplici browser web, che leggono e
scrivono migliaia e migliaia di files temporanei nella cache, e che
finirebbero loggati.
Se memorizzi il file con il suo percorso completo, oltre a data ed ora di
accesso, ci vuole ben altro che 18 byte per ogni file. ;-)
Se invece memorizzi solo l'entry nella tabella dei files, ci si puo' anche
stare, ma stiamo comunque parlando di migliaia di files, eh. :-)
Ciao! :-)
-- 
-----
  | NFINITY is so far as you want to see.
-----
Codice-Wii: 0474-9673-2703-9448
Se vuoi rispondermi in E-Mail, combatti la politica. ;-)

Hai presente quanti file apre Windows, solo per funzionare?
Da una share rete, non molti :-)
(La domanda originaria era "� possibile capire se sono stati copiati dei
files dalle share di rete...").
Comunque, quanti file apre Windows: il mio, adesso, ne sta aprendo (piu'
o meno) cinquantamila l'ora, per la maggior parte aperture _ripetute_ di
file .EXE o .INI. Su rete, finora, circa dodici l'ora.
Leonardo che l'efficienza e' un'altra cosa



Ovviamente no, la mia era una piccola provocazione.
Ho un cliente che � in causa con un ex-dipendente. Gli avevamo detto che non 
non eravamo in grado. Dice che porter� il pc da uno che gli ha detto che 
"forse" pu� capire se sono stati copiati dei files. Io resto scettico, ma 
nel frattempo la cosa mi incuriosisce...


nel frattempo la cosa mi incuriosisce...
Beh, alcuni programmi mettono la Most Recently Used directory (e/o file)
nel registro, e poi ci sono i Documenti Recenti.
Chiaro, non funzionera' mai con uno scafato oltre il 2%, pero' costui ha
detto "forse"...
Leonardo


 files dalle share di rete...")
Ok, si' ma il punto e' che non e' possibile, perche' Windows
giustamente non logga tutti gli accessi in lettura ai file, di share
o meno, altrimenti si creerebbero dei log semplicemente ridicoli
per dimensioni e completamente inutili per il 99,95% degli utenti.
Windows non apre certo molti file dalle share di rete "per funzionare"
ma non sono rari i casi in cui vengono aperti migliaia e migliaia di
file dalle share di rete; immagina se Windows tenesse il log di tutti
'ste aperture in lettura. Inoltre, se vogliamo proprio essere pignoli,
sarebbe il server su cui risiede il disco in share che dovrebbe tenere
i log di "chi ha aperto cosa e quando" altrimenti i client possono
bellamente cancellarsi i log da soli e buonanotte...

bellamente cancellarsi i log da soli e buonanotte...
Tutto vero. Appunto suggerivo l'uso di Samba. Comunque ci sono anche dei
software che loggano client side, ovviamente senza dirtelo.
Quanto al loggare, garantisco che e' possibile perche' ho provato a fare
un po' di lavoro con Filemon aperto a loggare OPENS e FAILURES. Non noto
neanche rallentamenti enormi, ed il log e' dell'ordine dei dieci mega l'
ora (80 mega al giorno, non compressi). E parlo di log dettagliato senza
nessun tentativo di fare le cose efficienti (tipo memorizzare filename e
handle separatamente).
XP SP3, portatile Pentium M dual core 1.8 GHz.
Leonardo


 handle separatamente).
Quando dicevo "non e' possibile" appunto non parlavo di
infattibilita' "a priori", ma "a posteriori", nel senso che se
non sai gia' da prima che vuoi monitorare l'accesso in
lettura a determinati file su share di rete allora ormai il
file puo' essere gia' stato copiato da chiunque e non lo
verrai mai a sapere con certezza (ci sono solo metodi
come il controllo di MRU e file recenti sui client che non
garantiscono assolutamente nulla)

infattibilita' "a priori", ma "a posteriori"
Ahh OK, adesso mi e' chiaro. Si', a posteriori uno e' vittima (salvo
colpi di fortuna, e di tonnaggine del "ladro").


files dalle share di rete...").
Hummmm... Si, e' vero! Avevo perso il "filo". :-p


Ai documenti recenti avevo gi� dato un'occhiata e proprio da tale ricerca 
risulta che sia stata inserita una chiavetta USB (era presente il link) un 
giorno e nell'ora in qui il dipendente in questione era solo in ufficio. Il 
sospetto che abbia copiato dei files esiste, ma non pu� essere supportato da 
prove (la chiavetta poteva essere stata inserita per vedere dei suoi files 
personali).
Per quanto riguarda le MRU, non saprei cosa cercare. Ho provato adesso nel 
registro del mio sistema e la cosa pi� vicina alle mie esigenze � la chiave 
OpensaveMRU che si trova in 
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32.
Qui trovo, suddivisi per estensioni, la lista di files aperti di recente 
(ma, non essendoci date, non so a quando risale l'apertura)... il bello � 
che non sono contemplate le estensioni XLS e DOC! Mah!
Comunque mi sarebbe poco utile, sia perch� indica i file aperti (e non solo 
copiati) sia perch� non riporta la data dell'operazione.
-- 
Skywalker Senior 

 Leonardo che l'efficienza e' un'altra cosa
beh, tempo fa installai un software m$ che avrebbe dovuto analizzare il boot
e *ottimizzare* l'avvio. Mi stavo annoiando e (errore grave) mi sono fidato
della descrizione sul sito m$ senza controllare in rete le
controindicazioni.
disco C: riempito dal log di sta ciofeca dopo 4 giorni (il log era oltre 65
Gb se ricordo bene)
ah, ovviamente la ciofeca NON si disinstallava, ovvero diceva di essersi
disinstallata ma restava attiva e ricominciava a loggare l'impossibile.
L'unico sistema per eliminare il log e' stato: avviare da un cd live linux,
creare una dir con il nome del file di log. 
Pero' a loggare era efficente, ora credo non ci riesca piu' per
incompatibilita' con ext3.  
-- 
nebbia 
-- 
nebbia 

 
__________ Information from ESET NOD32 Antivirus, version of virus signature database 4318 (20090808) __________
The message was checked by ESET NOD32 Antivirus.
http://www.eset.com