コンピュータ上のフォルダへのアクセスを追跡する方法

非常に多くのイベントを簡単に確認できるようにするために、フィルターを適用して重要なものだけを表示できます。 表示をクリックします メニューをクリックし、[フィルタ] をクリックします。 .フィルタのオプションがない場合は、左側のページでセキュリティ ログを右クリックし、[現在のログをフィルタ] を選択します。 . [イベント ID] ボックスに、数値 4656 を入力します .これは、ファイル システムを実行している特定のユーザーに関連付けられたイベントです アクションを実行し、何千ものエントリを調べることなく関連情報を提供します。

イベントに関する詳細情報を取得したい場合は、ダブルクリックして表示してください。

これは上の画面からの情報です:

オブジェクトへのハンドルが要求されました。

件名:
セキュリティ ID:Aseem-Lenovo\Aseem
アカウント名:Aseem
アカウント ドメイン:Aseem-Lenovo
ログオン ID:0x175a1

オブジェクト:
オブジェクト サーバー:セキュリティ
オブジェクト タイプ:ファイル
オブジェクト名:C:\Users\Aseem\Desktop\Tufu\New Text Document.txt
ハンドル ID:0x16a0

プロセス情報:
プロセス ID:0x820
プロセス名:C:\Windows\explorer.exe

アクセス リクエスト情報:
トランザクション ID:{00000000-0000-0000-0000-000000000000}
アクセス:DELETE
同期
ReadAttributes

上記の例では、作業したファイルはデスクトップの Tufu フォルダーにある New Text Document.txt であり、要求したアクセスは DELETE に続いて SYNCHRONIZE でした。ここで私がしたことは、ファイルを削除することでした。別の例を次に示します。

オブジェクト タイプ:ファイル
オブジェクト名:C:\Users\Aseem\Desktop\Tufu\Address Labels.docx
ハンドル ID:0x178

プロセス情報:
プロセス ID:0x1008
プロセス名:C:\Program Files (x86)\Microsoft Office\Office14\WINWORD.EXE

アクセス リクエスト情報:
トランザクション ID:{00000000-0000-0000-0000-000000000000}
アクセス:READ_CONTROL
同期
ReadData (または ListDirectory)
WriteData (または AddFile)
AppendData (または AddSubdirectory または CreatePipeInstance)
ReadEA
WriteEA
ReadAttributes
WriteAttributes

アクセスの理由:READ_CONTROL:所有権による付与
SYNCHRONIZE:D:(A;ID;FA;;;S-1-5-21-597862309-2018615179-2090787082-1​​000) によって付与

これを読むと、WINWORD.EXE プログラムを使用して Address Labels.docx にアクセスしたことがわかります。私のアクセスには READ_CONTROL が含まれており、アクセスの理由も READ_CONTROL でした。通常、さらに多くのアクセスが表示されますが、通常は最初のアクセスが主なタイプであるため、最初のアクセスに注目してください。この場合、Word を使用してファイルを開いただけです。何が起こっているのかを理解するには、少しテストしてイベントを読む必要がありますが、一度ダウンしてしまえば、非常に信頼できるシステムです.ファイルを含むテスト フォルダーを作成し、さまざまなアクションを実行して、イベント ビューアーに何が表示されるかを確認することをお勧めします。

それだけです！フォルダへのアクセスまたは変更を追跡するための迅速かつ無料の方法!