journal des accès

Question

Bonjour,

Comment je peux connaitre qui a accédé aux fichiers partagés dans le dossier du réseau

qui peut m'expliquer cette ligne de commande :

  Get-Item "\SharedFolder\MyFolder" | Get-NTFSAccess

Merci

Answer 1

Pour connaître qui a accédé aux fichiers partagés dans un dossier réseau, vous pouvez activer l’audit de sécurité pour enregistrer les accès aux fichiers et dossiers. Cependant, la commande PowerShell que vous avez mentionnée, Get-Item "\SharedFolder\MyFolder" | Get-NTFSAccess, est utile pour lister les autorisations (permissions) sur un dossier ou un fichier, et non pour identifier qui a accédé à ces fichiers.

Explication de la Commande

• Get-Item "\SharedFolder\MyFolder" : Cette commande récupère l’élément spécifié, qui dans ce cas est le dossier MyFolder dans \SharedFolder.
• | : Le pipe (|) transmet la sortie de la première commande (Get-Item) comme entrée de la seconde commande (Get-NTFSAccess).
• Get-NTFSAccess : Cette commande affiche les permissions NTFS (système de fichiers Windows) configurées sur l'élément, soit les utilisateurs et les groupes qui ont des autorisations d'accès, ainsi que le niveau d'accès (lecture, écriture, etc.).

La commande entière vous montre donc les autorisations NTFS pour le dossier MyFolder. Cela vous permet de voir qui a la permission d'accéder au dossier, mais pas qui a réellement accédé au dossier.

Pour Suivre les Accès Réels

Pour savoir qui a effectivement accédé aux fichiers, il est nécessaire d'activer l’audit des accès aux fichiers. Voici les étapes pour le configurer :

Configurer les Paramètres de Stratégie d'Audit :

• Allez dans Paramètres de sécurité locale sur le serveur où le dossier est hébergé :

  - Appuyez sur **Win + R**, tapez `secpol.msc`, puis appuyez sur **Entrée**.
  
     - Naviguez vers **Stratégies locales** > **Stratégies d’audit**.
  
        - Double-cliquez sur **Audit des objets**, puis activez les cases **Succès** et **Échec**.
  
        **Activer l’Audit sur le Dossier Spécifique** :
  
           - Faites un clic droit sur le dossier réseau (`\SharedFolder\MyFolder`), puis sélectionnez **Propriétés**.
  
              - Allez dans l'onglet **Sécurité** > **Avancé**.
  
                 - Cliquez sur **Audits** > **Ajouter** pour définir des paramètres d’audit spécifiques pour des utilisateurs ou des groupes, et cochez les cases pour les actions à auditer (lecture, écriture, etc.).
  
                 **Consulter les Journaux de Sécurité** :
  
                    - Une fois l’audit activé, les accès au dossier seront enregistrés dans le journal des événements Windows.
  
                       - Vous pouvez les consulter via **Observateur d’événements** (`eventvwr.msc`) sous **Journaux Windows** > **Sécurité**.
  
                          - Cherchez les événements liés à l’accès aux fichiers pour voir qui a accédé aux fichiers partagés.
  

Ces étapes vous permettront de savoir qui accède réellement aux fichiers et dossiers partagés en réseau.Pour connaître qui a accédé aux fichiers partagés dans un dossier réseau, vous pouvez activer l’audit de sécurité pour enregistrer les accès aux fichiers et dossiers. Cependant, la commande PowerShell que vous avez mentionnée, Get-Item "\SharedFolder\MyFolder" | Get-NTFSAccess, est utile pour lister les autorisations (permissions) sur un dossier ou un fichier, et non pour identifier qui a accédé à ces fichiers.

Explication de la Commande

• Get-Item "\SharedFolder\MyFolder" : Cette commande récupère l’élément spécifié, qui dans ce cas est le dossier MyFolder dans \SharedFolder.
• | : Le pipe (|) transmet la sortie de la première commande (Get-Item) comme entrée de la seconde commande (Get-NTFSAccess).
• Get-NTFSAccess : Cette commande affiche les permissions NTFS (système de fichiers Windows) configurées sur l'élément, soit les utilisateurs et les groupes qui ont des autorisations d'accès, ainsi que le niveau d'accès (lecture, écriture, etc.).

La commande entière vous montre donc les autorisations NTFS pour le dossier MyFolder. Cela vous permet de voir qui a la permission d'accéder au dossier, mais pas qui a réellement accédé au dossier.

Pour Suivre les Accès Réels

Pour savoir qui a effectivement accédé aux fichiers, il est nécessaire d'activer l’audit des accès aux fichiers. Voici les étapes pour le configurer :

Configurer les Paramètres de Stratégie d'Audit :

• Allez dans Paramètres de sécurité locale sur le serveur où le dossier est hébergé :

  - Appuyez sur **Win + R**, tapez `secpol.msc`, puis appuyez sur **Entrée**.
  
     - Naviguez vers **Stratégies locales** > **Stratégies d’audit**.
  
        - Double-cliquez sur **Audit des objets**, puis activez les cases **Succès** et **Échec**.
  
        **Activer l’Audit sur le Dossier Spécifique** :
  
           - Faites un clic droit sur le dossier réseau (`\SharedFolder\MyFolder`), puis sélectionnez **Propriétés**.
  
              - Allez dans l'onglet **Sécurité** > **Avancé**.
  
                 - Cliquez sur **Audits** > **Ajouter** pour définir des paramètres d’audit spécifiques pour des utilisateurs ou des groupes, et cochez les cases pour les actions à auditer (lecture, écriture, etc.).
  
                 **Consulter les Journaux de Sécurité** :
  
                    - Une fois l’audit activé, les accès au dossier seront enregistrés dans le journal des événements Windows.
  
                       - Vous pouvez les consulter via **Observateur d’événements** (`eventvwr.msc`) sous **Journaux Windows** > **Sécurité**.
  
                          - Cherchez les événements liés à l’accès aux fichiers pour voir qui a accédé aux fichiers partagés.
  

Ces étapes vous permettront de savoir qui accède réellement aux fichiers et dossiers partagés en réseau.