Windows ファイルサーバーで共有ファイルを削除・変更・参照した利用者を特定する方法

確実な監査には高度な監査ポリシー、フォルダー SACL、十分なログ容量、集中保持が必要で、イベント 4663、SID、所有者、経路を合わせて分析します。

最初に切り分ける範囲

このファイル／権限の事象では、まず「高度な監査ポリシー」と「SACL」で障害境界を決め、その後「4663／4660 などの監査イベント」へ進みます。本番設定を変更する前に、現状、発生時刻、正常な比較対象を記録します。

依存関係に沿った確認順序

根拠を確認してから変更する

1. まず読み取り中心で証跡を取得し、設定変更前に「高度な監査ポリシー」と「対象ディレクトリの SACL」を確認します。
2. 最初の確認が正常なら「4663／4660 などの監査イベント」と「ログ容量と保持期間」へ進み、障害時刻と結び付く証跡を残します。
3. 証跡が症状を説明できる場合に限って設定を変更します。「ユーザー SID と共有アクセス経路」を変更する前に元の値と切り戻し条件を定義します。
4. 「ログ集約と時刻同期」は限定範囲で検証してから、本番ユーザーまたは本番トラフィックへ展開します。

復旧確認と切り戻し

• ユーザーまたはアプリケーションの一連の業務動作を確認し、「高度な監査ポリシー」単独の状態だけで完了としません。
• 変更後に「ユーザー SID と共有アクセス経路」と「ログ集約と時刻同期」を再確認し、新たな迂回、権限拡大、二次障害がないことを確認します。
• 「高度な監査ポリシー」から「ログ集約と時刻同期」までの証跡、変更前後の設定、業務確認結果、切り戻し点を保存します。

よくある誤判断

• 「高度な監査ポリシー」と「SACL」を同時に変更し、どちらが原因だったか追跡できなくすること。
• 「4663／4660 などの監査イベント」が正常というだけで、「ログ容量と保持期間」を含む業務経路全体も正常と判断すること。
• 「ユーザー SID と共有アクセス経路」または「ログ集約と時刻同期」の一時例外を、責任者・期限・切り戻し記録なしで本番に残すこと。

関連する確認事項