windows 檔案監控(file monitor)與稽核機制(file audit) 教學(上) 2010.12.26

要在windows 上做檔案監控(即新增、刪除、修改的紀錄)，
可安裝付費軟體 scriptLogic File System  或 啟用稽核機制 。

一、付費軟體 scriptLogic File System Audit  (FSA)

因為該軟體手冊已講的很詳細，所以這裡會挑重點講。

軟體環境：
windows 2003 server with sp2
sql server 2005 express sp3
sql server 2005 management studio express sp3
(註：我裝sql server 2008 r2 express 時，FSA 都裝失敗)


1.sql server 及 FSA 都裝完後，執行FSA 的Database Wizard，Create New Database

 如果你想改變資料庫位置，則可如下圖所示，輸入位置，否則就是下一步。

再來就是設定如何連接資料庫，
跟你剛剛安裝SQL Database有很大的關聯。
這裡要特別注意的是，
Sql Server Instance 通常是 主機\SQLEXPRESS
如下圖就是win2003\SQLEXPRESS 。key錯是無法連的。
(在SQL server Management Studio 看得到)
再來就是輸入 sa 的密碼

 注意：SQL SERVER INSTANCE 要手KEYIN 進去，
用Browser 選的會有問題。

 2.在創造好新資料庫後，執行Agent Configuration Console

 點I Agree後會要求你選擇license File，選 evaluation 。

選Add File Server

點Add

輸入要監控的主機名稱或ip ，我是使用本機電腦名稱

權限不足畫面(請用網域Admin 或本機高權限帳號)

 正確畫面。

直接下一步

 都ok後就會出現此畫面

3.開啟報表 Report Configuration Console
 一開始選擇Create New Report。
ReportName可依自己取個容易讀的名稱，
其它都是連接資料庫的參數。
註：Databse Server  請注意是 主機\instance   ，例如 win2003\SQLEXPRESS2

預設是監控　設定前的所有分享資料夾，所以之後若要監控要再加進來。
下圖則是報表。(按Refresh會更新此報表的更新會慢個1分鐘左右。)
此軟體最好用的地方就在右邊，可依users或paths 來篩選，
這樣很快就能查到誰在亂刪除檔案了。
另外我的測試結果，只要有人連進去什麼都不做再關閉連線，也會有一筆紀錄存在。