Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Protokollierung des Endbenutzerzugriffs mit Dateizugriffsüberwachung

Amazon FSx für Windows File Server unterstützt die Überwachung des Zugriffs von Endbenutzern auf Dateien, Ordner und Dateifreigaben. Sie können sich dafür entscheiden, die Audit-Ereignisprotokolle eines Dateisystems an andere AWS Dienste zu senden, die eine Vielzahl von Funktionen bieten. Dazu gehören das Aktivieren der Abfrage, Verarbeitung, Speicherung und Archivierung von Protokollen, das Ausgeben von Benachrichtigungen und das Auslösen von Aktionen, um Ihre Sicherheits- und Compliance-Ziele weiter voranzutreiben.

Weitere Informationen zur Verwendung von Dateizugriffsprüfungen, um Einblicke in Zugriffsmuster zu erhalten und Sicherheitsbenachrichtigungen für Endbenutzeraktivitäten zu implementieren, finden Sie unter Einblicke in Zugriffsmuster im Dateispeicher und Implementieren von Sicherheitsbenachrichtigungen für Endbenutzeraktivitäten.

Mithilfe der Dateizugriffsprüfung können Sie die Endbenutzerzugriffe auf einzelne Dateien, Ordner und Dateifreigaben auf der Grundlage Ihrer definierten Prüfkontrollen aufzeichnen. Auditkontrollen werden auch als NTFS-Systemzugriffskontrolllisten (SACLs) bezeichnet. Wenn Sie bereits Überwachungskontrollen für Ihre vorhandenen Dateidaten eingerichtet haben, können Sie die Vorteile der Dateizugriffsprüfung nutzen, indem Sie ein neues Amazon FSx for Windows File Server-Dateisystem erstellen und Ihre Daten migrieren.

Amazon FSx unterstützt die folgenden Windows-Audit-Ereignisse für Datei-, Ordner- und Dateifreigabezugriffe:

Amazon FSx unterstützt die Protokollierung erfolgreicher Versuche (z. B. eines Benutzers mit ausreichenden Berechtigungen, der erfolgreich auf eine Datei oder Dateifreigabe zugreift), fehlgeschlagener Versuche oder beidem.

Sie können konfigurieren, ob Sie den Zugriff nur auf Dateien und Ordner, nur auf Dateifreigaben oder auf beides überwachen möchten. Sie können auch konfigurieren, welche Arten von Zugriffen protokolliert werden sollen (nur erfolgreiche Versuche, nur fehlgeschlagene Versuche oder beides). Sie können die Überwachung des Dateizugriffs auch jederzeit deaktivieren.

Die maximale Rate unterstützter Zugriffsprüfungsereignisse liegt bei 5.000 Ereignissen pro Sekunde. Zugriffsprüfungsereignisse werden nicht für jeden Lese- und Schreibvorgang einer Datei generiert, sondern einmal pro Dateimetadatenvorgang, z. B. wenn ein Benutzer eine Datei erstellt, öffnet oder löscht.

Ziele des Audit-Ereignisprotokolls

Wenn Sie die Überwachung des Dateizugriffs aktivieren, müssen Sie einen AWS Service konfigurieren, an den Amazon FSx die Audit-Ereignisprotokolle sendet. Sie können Audit-Ereignisprotokolle entweder an einen Amazon CloudWatch Logs-Log-Stream in einer CloudWatch Logs-Protokollgruppe oder an einen Amazon Data Firehose-Lieferstream senden. Sie wählen das Ziel der Audit-Ereignisprotokolle entweder, wenn Sie Ihr Amazon FSx for Windows File Server-Dateisystem erstellen, oder jederzeit danach, indem Sie ein vorhandenes Dateisystem aktualisieren. Weitere Informationen finden Sie unter Verwaltung der Dateizugriffsprüfung.

Im Folgenden finden Sie einige Empfehlungen, die Ihnen bei der Entscheidung helfen können, welches Ziel Sie für Audit-Ereignisprotokolle wählen sollten:

Standardmäßig erstellt und verwendet Amazon FSx eine CloudWatch Standard-Protokollgruppe in Ihrem Konto als Ziel für das Audit-Ereignisprotokoll. Wenn Sie eine benutzerdefinierte CloudWatch Protokollgruppe verwenden oder Firehose als Ziel für das Audit-Ereignisprotokoll verwenden möchten, finden Sie hier die Anforderungen für die Namen und Speicherorte des Audit-Ereignisprotokolls:

Sie können das Ziel des Audit-Ereignisprotokolls jederzeit ändern (z. B. von CloudWatch Logs zu Firehose). Wenn Sie dies tun, werden neue Audit-Ereignisprotokolle nur an das neue Ziel gesendet.

Bereitstellung von Audit-Ereignisprotokollen nach besten Kräften

In der Regel werden die Aufzeichnungen des Prüfereignisprotokolls innerhalb von Minuten an das Ziel übermittelt, manchmal kann es jedoch länger dauern. In sehr seltenen Fällen kann es vorkommen, dass Aufzeichnungen aus dem Auditereignisprotokoll übersehen werden. Wenn Ihr Anwendungsfall eine bestimmte Semantik erfordert (z. B. um sicherzustellen, dass keine Prüfereignisse übersehen werden), empfehlen wir, bei der Gestaltung Ihrer Workflows die verpassten Ereignisse zu berücksichtigen. Sie können überprüfen, ob Ereignisse verpasst wurden, indem Sie die Datei- und Ordnerstruktur in Ihrem Dateisystem scannen.

Migrieren Sie Ihre Auditkontrollen

Wenn Sie bereits Audit-Controls (SACLs) für Ihre vorhandenen Dateidaten eingerichtet haben, können Sie ein Amazon FSx-Dateisystem erstellen und Ihre Daten auf Ihr neues Dateisystem migrieren. Wir empfehlen AWS DataSync die Verwendung für die Übertragung von Daten und den zugehörigen SACLs auf Ihr Amazon FSX-Dateisystem. Als alternative Lösung können Sie Robocopy (Robust File Copy) verwenden. Weitere Informationen finden Sie unter Migration von vorhandenem Dateispeicher zu Amazon FSx.

Anzeige von Ereignisprotokollen

Sie können die Audit-Ereignisprotokolle einsehen, nachdem Amazon FSx mit der Ausgabe begonnen hat. Wo und wie Sie die Protokolle einsehen, hängt vom Ziel des Audit-Ereignisprotokolls ab:

Überwachen Sie die Ereignisfelder

Dieser Abschnitt enthält Beschreibungen der Informationen in den Prüfereignisprotokollen und Beispiele für Prüfereignisse.

Im Folgenden finden Sie Beschreibungen der wichtigsten Felder in einem Windows-Überwachungsereignis.

Im Folgenden finden Sie einige wichtige Ereignisse mit Beispielen. Beachten Sie, dass das XML aus Gründen der Lesbarkeit formatiert ist.

Die Ereignis-ID 4660 wird protokolliert, wenn ein Objekt gelöscht wird.

<Event xmlns='http://schemas.microsoft.com/win/2004/08/events/event'><System>
<Provider Name='Microsoft-Windows-Security-Auditing' Guid='{54849625-5478-4994-A5BA-3E3B0328C30D}'/>
<EventID>4660</EventID><Version>0</Version><Level>0</Level>
<Task>12800</Task><Opcode>0</Opcode>
<Keywords>0x8020000000000000</Keywords><TimeCreated SystemTime='2021-05-18T04:51:56.916563800Z'/>
<EventRecordID>315452</EventRecordID><Correlation/>
<Execution ProcessID='4' ThreadID='5636'/><Channel>Security</Channel>
<Computer>amznfsxgyzohmw8.example.com</Computer><Security/></System><EventData>
<Data Name='SubjectUserSid'>S-1-5-21-658495921-4185342820-3824891517-1113</Data>
<Data Name='SubjectUserName'>Admin</Data><Data Name='SubjectDomainName'>example</Data>
<Data Name='SubjectLogonId'>0x50932f71</Data><Data Name='ObjectServer'>Security</Data>
<Data Name='HandleId'>0x12e0</Data><Data Name='ProcessId'>0x4</Data><Data Name='ProcessName'></Data>
<Data Name='TransactionId'>{00000000-0000-0000-0000-000000000000}</Data></EventData></Event>

Die Ereignis-ID 4659 wird bei einer Anforderung zum Löschen einer Datei protokolliert.

<Event xmlns='http://schemas.microsoft.com/win/2004/08/events/event'><System>
<Provider Name='Microsoft-Windows-Security-Auditing' Guid='{54849625-5478-4994-A5BA-3E3B0328C30D}'/>
<EventID>4659</EventID><Version>0</Version><Level>0</Level><Task>12800</Task><Opcode>0</Opcode>
<Keywords>0x8020000000000000</Keywords><TimeCreated SystemTime='2021-0603T19:18:09.951551200Z'/>
<EventRecordID>308888</EventRecordID><Correlation/><Execution ProcessID='4' ThreadID='5540'/>
<Channel>Security</Channel><Computer>amznfsxgyzohmw8.example.com</Computer><Security/></System>
<EventData><Data Name='SubjectUserSid'>S-1-5-21-658495921-4185342820-3824891517-1113</Data>
<Data Name='SubjectUserName'>Admin</Data><Data Name='SubjectDomainName'>example</Data>
<Data Name='SubjectLogonId'>0x2a9a603f</Data><Data Name='ObjectServer'>Security</Data>
<Data Name='ObjectType'>File</Data><Data Name='ObjectName'>\Device\HarddiskVolume8\shar\event.txt</Data>
<Data Name='HandleId'>0x0</Data><Data Name='TransactionId'>{00000000-0000-0000-0000-000000000000}</Data>
<Data Name='AccessList'>%%1537
				%%4423
				</Data><Data Name='AccessMask'>0x10080</Data><Data Name='PrivilegeList'>-</Data>
<Data Name='ProcessId'>0x4</Data></EventData></Event>

Die Ereignis-ID 4663 wird protokolliert, wenn ein bestimmter Vorgang für das Objekt ausgeführt wurde. Das folgende Beispiel zeigt das Lesen von Daten aus einer Datei, aus AccessList %%4416 der interpretiert werden kann.

<Event xmlns='http://schemas.microsoft.com/win/2004/08/events/event'><System>
<Provider Name='Microsoft-Windows-Security-Auditing' Guid='{54849625-5478-4994-A5BA-3E3B0328C30D}'/>
<EventID>4663< /EventID><Version>1</Version><Level>0</Level><Task>12800</Task><Opcode>0</Opcode>
<Keywords>0x8020000000000000</Keywords><TimeCreated SystemTime='2021-06-03T19:10:13.887145400Z'/>
<EventRecordID>308831</EventRecordID><Correlation/><Execution ProcessID='4' ThreadID='6916'/>
<Channel>Security</Channel><Computer>amznfsxgyzohmw8.example.com</Computer><Security/></System>
<EventData>< Data Name='SubjectUserSid'>S-1-5-21-658495921-4185342820-3824891517-1113< /Data>
<Data Name='SubjectUserName'>Admin</Data><Data Name='SubjectDomainName'>example</Data>
<Data Name='SubjectLogonId'>0x2a9a603f</Data><Data Name='ObjectServer'>Security</Data>
<Data Name='ObjectType'>File</Data><Data Name='ObjectName'>\Device\HarddiskVolume8\share\event.txt</Data>
<Data Name='HandleId'>0x101c</Data><Data Name='AccessList'>%%4416
				</Data>
<Data Name='AccessMask'>0x1</Data><Data Name='ProcessId'>0x4</Data>
<Data Name='ProcessName'></Data><Data Name='ResourceAttributes'>S:AI</Data>
</EventData></Event>

Das folgende Beispiel zeigt write/append Daten aus einer Datei, aus der interpretiert werden kannAccessList %%4417.

<Event xmlns='http://schemas.microsoft.com/win/2004/08/events/event'><System>
<Provider Name='Microsoft-Windows-Security-Auditing' Guid='{54849625-5478-4994-A5BA-3E3B0328C30D}'/>
<EventID>4663</EventID><Version>1</Version><Level>0</Level><Task>12800</Task><Opcode>0</Opcode>
<Keywords>0x8020000000000000</Keywords><TimeCreated SystemTime='2021-06-03T19:12:16.813827100Z'/>
<EventRecordID>308838</EventRecordID><Correlation/><Execution ProcessID='4' ThreadID='5828'/>
<Channel>Security</Channel><Computer>amznfsxgyzohmw8.example.com</Computer><Security/></System>
<EventData><Data Name='SubjectUserSid'>S-1-5-21-658495921-4185342820-3824891517-1113</Data>
<Data Name='SubjectUserName'>Admin</Data><Data Name='SubjectDomainName'>example</Data>
<Data Name='SubjectLogonId'>0x2a9a603f</Data><Data Name='ObjectServer'>Security</Data>
<Data Name='ObjectType'>File</Data><Data Name='ObjectName'>\Device\HarddiskVolume8\share\event.txt</Data>
<Data Name='HandleId'>0xa38</Data><Data Name='AccessList'>%%4417
				</Data><Data Name='AccessMask'>0x2</Data><Data Name='ProcessId'>0x4</Data>
<Data Name='ProcessName'></Data><Data Name='ResourceAttributes'>S:AI</Data></EventData></Event>

Die Ereignis-ID 4656 gibt an, dass ein bestimmter Zugriff für ein Objekt angefordert wurde. Im folgenden Beispiel wurde die Leseanforderung für ObjectName „permtest“ initiiert und war ein fehlgeschlagener Versuch, wie aus dem Schlüsselwort-Wert von hervorgeht. 0x8010000000000000

<Event xmlns='http://schemas.microsoft.com/win/2004/08/events/event'><System>
<Provider Name='Microsoft-Windows-Security-Auditing' Guid='{54849625-5478-4994-A5BA-3E3B0328C30D}'/>
<EventID>4656</EventID><Version>1</Version><Level>0</Level><Task>12800</Task><Opcode>0</Opcode>
<Keywords>0x8010000000000000</Keywords><TimeCreated SystemTime='2021-06-03T19:22:55.113783500Z'/>
<EventRecordID>308919</EventRecordID><Correlation/><Execution ProcessID='4' ThreadID='4924'/>
<Channel>Security</Channel><Computer>amznfsxgyzohmw8.example.com</Computer><Security/></System>
<EventData><Data Name='SubjectUserSid'>S-1-5-21-658495921-4185342820-3824891517-1113</Data>
<Data Name='SubjectUserName'>Admin</Data><Data Name='SubjectDomainName'>example</Data>
<Data Name='SubjectLogonId'>0x2a9a603f</Data><Data Name='ObjectServer'>Security</Data>
<Data Name='ObjectType'>File</Data><Data Name='ObjectName'>\Device\HarddiskVolume8\share\permtest</Data>
<Data Name='HandleId'>0x0</Data><Data Name='TransactionId'>{00000000-0000-0000-0000-000000000000}</Data>
<Data Name='AccessList'>%%1541
				%%4416
				%%4423
				</Data><Data Name='AccessReason'>%%1541:	%%1805
				%%4416:	%%1805
				%%4423:	%%1811	D:(A;OICI;0x1301bf;;;AU)
				</Data><Data Name='AccessMask'>0x100081</Data><Data Name='PrivilegeList'>-</Data>
<Data Name='RestrictedSidCount'>0</Data><Data Name='ProcessId'>0x4</Data><Data Name='ProcessName'></Data>
<Data Name='ResourceAttributes'>-</Data></EventData></Event>

Die Ereignis-ID 4670 wird protokolliert, wenn die Berechtigungen für ein Objekt geändert werden. Das folgende Beispiel zeigt, dass der Benutzer „admin“ die Berechtigung für ObjectName „permtest“ geändert hat, um SID "“ Berechtigungen hinzuzufügen. S-1-5-21-658495921-4185342820-3824891517-1113 Weitere Informationen zur Interpretation der Berechtigungen finden Sie in der Microsoft-Dokumentation.

<Event xmlns='http://schemas.microsoft.com/win/2004/08/events/event'><System>
<Provider Name='Microsoft-Windows-Security-Auditing' Guid='{54849625-5478-4994-A5BA-3E3B0328C30D}'/>
<EventID>4670</EventID><Version>0</Version><Level>0</Level>
<Task>13570</Task><Opcode>0</Opcode><Keywords>0x8020000000000000</Keywords>
<TimeCreated SystemTime='2021-06-03T19:39:47.537129500Z'/><EventRecordID>308992</EventRecordID>
<Correlation/><Execution ProcessID='4' ThreadID='2776'/><Channel>Security</Channel>
<Computer>amznfsxgyzohmw8.example.com</Computer><Security/></System><EventData>
<Data Name='SubjectUserSid'>S-1-5-21-658495921-4185342820-3824891517-1113</Data>
<Data Name='SubjectUserName'>Admin</Data><Data Name='SubjectDomainName'>example</Data>
<Data Name='SubjectLogonId'>0x2a9a603f</Data><Data Name='ObjectServer'>Security</Data>
<Data Name='ObjectType'>File</Data><Data Name='ObjectName'>\Device\HarddiskVolume8\share\permtest</Data>
<Data Name='HandleId'>0xcc8</Data>
<Data Name='OldSd'>D:PAI(A;OICI;FA;;;SY)(A;OICI;FA;;;S-1-5-21-658495921-4185342820-3824891517-2622)</Data>
<Data Name='NewSd'>D:PARAI(A;OICI;FA;;;S-1-5-21-658495921-4185342820-3824891517-1113)(A;OICI;FA;;;SY)(A;OICI;FA;;;
S-1-5-21-658495921-4185342820-3824891517-2622)</Data><Data Name='ProcessId'>0x4</Data>
<Data Name='ProcessName'></Data></EventData></Event>

Die Ereignis-ID 5140 wird jedes Mal protokolliert, wenn auf eine Dateifreigabe zugegriffen wird.

<Event xmlns='http://schemas.microsoft.com/win/2004/08/events/event'><System>
<Provider Name='Microsoft-Windows-Security-Auditing' Guid='{54849625-5478-4994-A5BA-3E3B0328C30D}'/>
<EventID>5140</EventID><Version>1</Version><Level>0</Level><Task>12808</Task><Opcode>0</Opcode>
<Keywords>0x8020000000000000</Keywords><TimeCreated SystemTime='2021-06-03T19:32:07.535208200Z'/>
<EventRecordID>308947</EventRecordID><Correlation/><Execution ProcessID='4' ThreadID='3120'/>
<Channel>Security</Channel><Computer>amznfsxgyzohmw8.example.com</Computer><Security/></System>
<EventData><Data Name='SubjectUserSid'>S-1-5-21-658495921-4185342820-3824891517-2620</Data>
<Data Name='SubjectUserName'>EC2AMAZ-1GP4HMN$</Data><Data Name='SubjectDomainName'>example</Data>
<Data Name='SubjectLogonId'>0x2d4ca529</Data><Data Name='ObjectType'>File</Data><Data Name='IpAddress'>172.45.6.789</Data>
<Data Name='IpPort'>49730</Data><Data Name='ShareName'>\\AMZNFSXCYDKLDZZ\share</Data>
<Data Name='ShareLocalPath'>\??\D:\share</Data><Data Name='AccessMask'>0x1</Data><Data Name='AccessList'>%%4416
				</Data></EventData></Event>

Die Ereignis-ID 5145 wird protokolliert, wenn der Zugriff auf Dateifreigabeebene verweigert wird. Das folgende Beispiel zeigt, dass der Zugriff auf ShareName „demoshare01" verweigert wurde.

<Event xmlns='http://schemas.microsoft.com/win/2004/08/events/event'><System>
<Provider Name='Microsoft-Windows-Security-Auditing' Guid='{54849625-5478-4994-A5BA-3E3B0328C30D}'/>
<EventID>5145</EventID><Version>0</Version><Level>0</Level>
<Task>12811</Task><Opcode>0</Opcode><Keywords>0x8010000000000000</Keywords>
<TimeCreated SystemTime='2021-05-19T22:30:40.485188700Z'/><EventRecordID>282939</EventRecordID>
<Correlation/><Execution ProcessID='4' ThreadID='344'/><Channel>Security</Channel>
<Computer>amznfsxtmn9autz.example.com</Computer><Security/></System><EventData>
<Data Name='SubjectUserSid'>S-1-5-21-658495921-4185342820-3824891517-
1113</Data><Data Name='SubjectUserName'>Admin</Data><Data Name='SubjectDomainName'>example</Data>
<Data Name='SubjectLogonId'>0x95b3fb7</Data><Data Name='ObjectType'>File</Data>
<Data Name='IpAddress'>172.31.7.112</Data><Data Name='IpPort'>59979</Data>
<Data Name='ShareName'>\\AMZNFSXDPNTE0DC\demoshare01</Data><Data Name='ShareLocalPath'>\??\D:\demoshare01</Data>
<Data Name='RelativeTargetName'>Desktop.ini</Data><Data Name='AccessMask'>0x120089</Data>
<Data Name='AccessList'>%%1538 %%1541 %%4416 %%4419 %%4423 </Data><Data Name='AccessReason'>%%1538:
%%1804 %%1541: %%1805 %%4416: %%1805 %%4419: %%1805 %%4423: %%1805 </Data></EventData></Event>

Wenn Sie CloudWatch Logs Insights verwenden, um Ihre Protokolldaten zu durchsuchen, können Sie Abfragen in den Ereignisfeldern ausführen, wie die folgenden Beispiele zeigen:

Weitere Informationen zur CloudWatch Logs Insights-Abfragesprache finden Sie unter Analysieren von Protokolldaten mit CloudWatch Logs Insights im Amazon CloudWatch Logs-Benutzerhandbuch.