【Win7Win10】通过筛选安全日志发现“是谁删除了自己共享的文件”（局域网IP地址）

nmyh

操作说明的附件打包下载： 【Win7Win10】通过筛选安全日志发现“是谁删除了自己共享的文件”（局域网IP地址）.zip (349.12 KB, 下载次数: 26)

2021-12-12 14:46 上传

点击文件名下载附件



一、本电脑必要的配置：
1.运行“gpedit.msc”组策略（C:\Windows\System32\gpedit.msc）。
2.展开“计算机配置 → Windows设置 → 安全设置 → 本地策略 → 审核策略”。
3.双击右边的“审核对象访问”，勾选“成功”，确定。


上面的配置完之后，如果局域网其它电脑有删除本电脑共享的文件，那么就会在本电脑自动写入系统事件日志。



二、筛选安全日志
1.运行“eventvwr.msc”事件日志（C:\Windows\System32\eventvwr.msc）。
2.左边展开“Windows日志 → 安全”，点右边的“筛选当前日志”。
3.选择顶端的“XML”，勾选“手动编辑查询”点是，把中间的内容替换为下面的（“<QueryList>”开始，“</QueryList>”结束）并确定：

1. <QueryList>
   
2. <Query Id="0" Path="Security">
   
3.   <Select Path="Security">
   
4.    *[System[(EventID='5145')]] and
   
5.    *[EventData[Data[@Name='AccessMask'] and (Data='0x10000' or Data='0x10080')]]
   
6.   </Select>
   
7. </Query>
   
8. </QueryList>

复制代码

如果要指定一个本电脑的共享文件夹（例如“F:\共享的文件夹目录”），就把中间的内容替换为下面的（“<QueryList>”开始，“</QueryList>”结束）并确定：

1. <QueryList>
   
2. <Query Id="0" Path="Security">
   
3.   <Select Path="Security">
   
4.    *[System[(EventID='5145')]] and
   
5.    *[EventData[Data[@Name='ShareLocalPath'] and (Data='\??\F:\共享的文件夹目录')]] and
   
6.    *[EventData[Data[@Name='AccessMask'] and (Data='0x10000' or Data='0x10080')]]
   
7.   </Select>
   
8. </Query>
   
9. </QueryList>

复制代码

三、查看日志筛选结果
1.筛选结果已经出现在在事件日志窗口中间上面了，选择一个，在中间“常规”下面往下拉一点。
2.“源地址”就是局域网其它电脑的IP地址，“相对目标名称”就是本电脑共享文件夹下的具体文件路径及名称，本例为：F:\共享的文件夹目录\子目录2\文件1.txt




备注：
1.如果别人删除的是文件夹目录，则此筛选结果对应的是每个被删除的文件条目；如果是没有文件的空目录被删除，则此筛选不会出现在结果条目中。
2.参考：https://docs.microsoft.com/en-us ... auditing/event-5145







【补充】仅查看共享文件夹被别人写入、编辑、删除文件的日志条目的XML筛选代码如下：

1. <QueryList>
   
2. <Query Id="0" Path="Security">
   
3.   <Select Path="Security">
   
4.    *[System[(EventID='5145')]] and
   
5.    *[EventData[Data[@Name='AccessMask'] and (Data='0x16019f' or Data='0x12019f' or Data='0x10080')]] and
   
6.    *[EventData[Data[@Name='RelativeTargetName']!='srvsvc']] and
   
7.    *[EventData[Data[@Name='RelativeTargetName']!='\']]
   
8.   </Select>
   
9. </Query>
   
10. </QueryList>

复制代码

hw0139a

这个如果能用到，方法不错。