Newsgroup: it.comp.os.win.win2000
Titolo: Controllo accesso agli oggetti: troppa grazia!

Salve a tutti.
Su una macchina con Win2000 Pro ho attivato il controllo di accesso agli 
oggetti nei criteri di protezione locali, e poi ho attivato il controllo 
per "Everyone" su una partizione. Lo scopo è registrare tutti gli 
accessi ai file contenuti in quella partizione.
Il problema è che, per qualsiasi operazione idiota che qualsiasi utente 
faccia, mi ritrovo nel visualizzatore una MAREA di eventi, al punto che 
un registro eventi limitato a 1024 kB riesce a registrarmi solo un'ora 
di accessi.
Esiste un modo per registrare SOLO gli accessi ai singoli file, senza 
tutto quel contorno di accessi da parte di "SYSTEM", di accessi alla 
partizione, di accessi alle directory...?
Grazie un milione (di byte).
-- 
Ciao,
  Marco.
..."Grace", Jeff Buckley 1994

 partizione, di accessi alle directory...?
Prova a consultare questo articolo, contiene anche delle linee guida su
come impostare il controllo degli accessi:
http://support.microsoft.com/?kbid=300549
Ciao
_______________________
Microsoft® Technical Advice
news://
news.microsoft.com
http://support.microsoft.com

 partizione, di accessi alle directory...?
Si basta che attivi l'auditing sui file che vuoi controllare.
--
Saluti e salute a tutti.
________________
Gabriele Del Giovine [Microsoft MVP]
Windows 2000 - Windows NT 4.0
- Le informazioni fornite in questo messaggio sono fornite
  senza vincolo di garanzia e senza responsabilità alcuna.
- This posting is provided "AS IS" with no warranties explicit
  or implied and confers no rights whatsoever.



Per cominciare, potresti attivare il controllo per il gruppo Users anziche' 
per Everyone.
-- 
Enrico
http://web.mclink.it/MC2515

 partizione, di accessi alle directory...?
SYSTEM fa parte di everyone per cui....
Comunque perchè non controlli solo gli accessi dei gruppi a cui
appartengono gli utenti che vuoi monitorare ?
Ciao.
--
Fabio
cinqua...@libero.it
Repliche tramite  email non sono  in  sintonia  con il  concetto  di
"Gruppo di Discussione".Comunque "se devi" aggiungi [Lf] all'oggetto

A proposito dell'auditing, sto cercando di chiarirmi le idee sul 
significato degli events...
Mettiamo di avere una cartella "Cartagine" e di applicare alla cartella e 
ai file contenuti il controllo di accesso (per me, amministratore) sulle 
operazioni riuscite di Creazione file / scrittura dati.
Se in Cartagine creo un nuovo file di *testo*, nel Registro eventi 
protezione mi risulteranno *due* voci, un event 560 e un event 562 (che 
riporto piu' avanti).
Se invece creo un nuovo file di *word* .doc, si generano *quattro* voci (2 
event 560 e 2 event 562).
Perche' il raddoppio?
Altro caso: imposto il controllo anche per Elenco cartelle / Lettura dati 
(riuscito). In questo caso, una semplice apertura della cartella Cartagine 
genera 10 voci nel Registro, cinque 560 e cinque 562. E' normale questo 
proliferare di avvisi? Come vanno interpretati?
Event 560 generati dalla creazione di Nuovo documento di testo
ID evento:	560
[...]
Descrizione:
Apertura oggetto:
 	Server oggetto:	Security
 	Tipo oggetto:		File
 	Nome oggetto:		X:\Cartagine\Nuovo Documento di testo.txt
 	Nuovo ID dell'handle:	1864
 	ID dell'operazione:		{0,1807169}
 	ID del processo:		1436
 	[...]
 	Accessi			READ_CONTROL 
			SYNCHRONIZE 
			ReadData (o ListDirectory) 
			WriteData (o AddFile) 
			AppendData (o AddSubdirectory o CreatePipeInstance) 
			ReadEA 
			WriteEA 
			ReadAttributes 
			WriteAttributes 
 
 
 
Eventi 560 generati dalla creazione di Nuovo documento di Microsoft Word
ID evento:	560
[...]
Descrizione:
Apertura oggetto:
 	Server oggetto:	Security
 	Tipo oggetto:		File
 	Nome oggetto:		X:\Cartagine\Nuovo Documento di Microsoft Word.doc
 	Nuovo ID dell'handle:	804
 	ID dell'operazione:		{0,1842158}
 	ID del processo:		1436
[...]
 	Accessi			DELETE 
			READ_CONTROL 
			SYNCHRONIZE 
			WriteData (o AddFile) 
			AppendData (o AddSubdirectory o CreatePipeInstance) 
			WriteEA 
			ReadAttributes 
			WriteAttributes 
 
ID evento:	560
[...]
Descrizione:
Apertura oggetto:
 	Server oggetto:	Security
 	Tipo oggetto:		File
 	Nome oggetto:		X:\Cartagine\Nuovo Documento di Microsoft Word.doc
 	Nuovo ID dell'handle:	804
 	ID dell'operazione:		{0,1842160}
 	ID del processo:		1436
[...]
 	Accessi			READ_CONTROL 
			SYNCHRONIZE 
			WriteData (o AddFile) 
			AppendData (o AddSubdirectory o CreatePipeInstance) 
			WriteEA 
			ReadAttributes 
			WriteAttributes 
-- 
Enrico
http://web.mclink.it/MC2515

 Si basta che attivi l'auditing sui file che vuoi controllare.
Il problema è che, come ho scritto, devo controllare una intera 
partizione, che conterrà qualcosa come 10 GB di dati, e vengono 
cancellati o creati file ogni giorno, quindi non posso certo mettermi a 
selezionarli tutti. 8)
Se attivo il controllo sulle directory, allora tanto vale che lo lascio 
attivo solo sulla partizione, come ho già fatto.
-- 
Ciao,
  Marco.
..."Low", David Bowie 1977

 appartengono gli utenti che vuoi monitorare ?
Ci avevo già pensato (dovrei controllare l'accesso da parte di 
Administrators e Power Users), ma purtroppo non risolvo molto: in questo 
modo elimino soltanto le voci relative a SYSTEM, che rappresentano solo 
una parte del problema.


 per Everyone.
Vedi risposta a "Lf". Il mio problema non sono tanto gli eventi relativi 
a SYSTEM, quanto la sovrabbondanza di eventi per ogni lettura da parte 
di un utente, esattamente come hai riportato tu nel post successivo: 
basta che qualcuno acceda a quella cartella, senza neanche leggere file, 
e subito vengono generati un sacco di eventi. Se pensi che a quella 
partizione accedono 5-6 utenti da macchine diverse, e magari tengono 
tutti aperto Esplora Risorse per la maggior parte del tempo su quella 
partizione, il che vuol dire che ogni volta che cliccano su quella 
finestra vengono generati altri eventi, puoi immaginare quanto sia 
difficile ottenere un log significativo!
Grazie comunque anche a Support3, sebbene l'articolo indicato non mi sia 
servito a molto.
-- 
Ciao,
  Marco.
..."Have a Little Faith", Bill Frisell 1993



Per ridurre il log, comunque, puoi: 
* applicare l'auditing solo agli user che vuoi monitorare; 
* restringere il controllo solo ai file (se è quello che chiedevi) dal menu 
a tendina di Protezione - Controllo - Avanzate; 
* nella stessa scheda Protezione - Controllo - Avanzates, selezionare con 
attenzione gli eventi da monitorare; selezionare i controlli in gpedit.msc;
* filtrare le voci significative in Event viewer - Registro protezione 
click_tasto_destro - Proprietà.
-- 
Enrico
http://web.mclink.it/MC2515

 Esiste un modo per registrare SOLO gli accessi ai singoli file,
applica l'auditing solo ai file, semplice
-- 
  < 
http://www.reactos.com/
 >  Open source clone of Windows NT. Current
      Don't stand, REACT!      version 0.0.21. C/C++ and ASM developers
                               and beta testers are welcome!

 interpretati?
Explorer contiene un sacco di plugin. Un'apertura la fa lui per leggere 
il contenuto della cartella, e una ognuno dei plugin per i fatti propri


 il contenuto della cartella, e una ognuno dei plugin per i fatti propri
E' vero, ci sono plugin  :-)
Thx!
-- 
Enrico
http://web.mclink.it/MC2515

 scrittura.
l'auditing è implementato dall'object manager, non dal sistema di I/O - 
cioè ottieni eventi solo all'*accesso* dei file, non ad ogni operazione 
di lettura/scrittura/eccetera


 applica l'auditing solo ai file, semplice
Grazie. Ho provato qui a casa, ma spara sempre un sacco di eventi... 
riproverò.
-- 
Ciao,
  Marco.
..."Skylarking", XTC 1986

 click_tasto_destro - Proprietà.
Ecco, qui vorrei chiederti una cosa, non la trovo nella guida di 
Windows: le impostazioni che io faccio in questa scheda "Filtro" 
influenzano solo la visualizzazione? Oppure influenzano proprio gli 
eventi che vengono memorizzati nel registro?
Grazie.
-- 
Ciao,
  Marco.
..."A Passion Play", Jethro Tull 1973

 eventi che vengono memorizzati nel registro?
La  prima  che  hai  detto.  Una  volta definito un filtro, puoi anche
scegliere se visualizzare solo gli eventi filtrati o tutti gli eventi.
(tasto destro sul registro > visualizza > Tutti i record).
Puoi  inoltre  creare  una Nuova visualizzazione dello stesso registro
(sempre dal menu del tasto  destro),  e  filtrarla  diversamente.  Per
esempio, una per ogni utente.
-- 
Enrico
http://web.mclink.it/MC2515

 Grazie. Ho provato qui a casa, ma spara sempre un sacco di eventi...
per tutte le operazioni di lettura controlla solo gli accessi negati, è 
il massimo che posso consigliarti


 il massimo che posso consigliarti
Sì, in effetti temo che l'unica soluzione sia limitare fortemente gli 
eventi controllati...
Grazie.
