Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen (A bis Z)

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

Datenflut bei aktivierter Objektzugriffüberwachung (W2K3)

Frage Microsoft Windows Server

Mitglied: fontemagno

fontemagno (Level 1) - Jetzt verbinden

23.03.2010, aktualisiert 09:22 Uhr, 3153 Aufrufe, 7 Kommentare

Hallo,

bei einem Kunden sollen einige Verzeichnisse bzgl. der Zugriffe überwacht werden. Die rechtlichen Belange dazu sind geklärt. Nun habe ich das Problem, dass nach aktivierter Objektzugriffüberwachung auf einem W2K3 Server neben den gewünschten Informationen über Dateizugriffe auch massig Einträge von z.B. Exchange (store.exe), mmc.exe oder auch explorer.exe erscheinen. Und das ganze nahezu im Sekundentakt. Gibt es eine Möglichkeit, diese Einträge auszuklammern, und zwar nicht erst durch einen Filter bei der Logansicht, sondern so, dass diese erst gar nicht im Log erscheinen. Hab' gegoogelt und bislang keine brauchbaren Ideen gefunden.

Über Tips wäre ich sehr dankbar.
Mitglied: DerWoWusste
23.03.2010 um 10:22 Uhr
Moin.
Wie die Objektzugriffsüberwachung eingestellt ist, verschweigst Du. Wo also sollen Helfer ansetzen?
Bitte warten ..
Mitglied: fontemagno
23.03.2010 um 13:02 Uhr
Hallo,
ich habe die Objektzgriffsüberwachung per Richtlinie aktiviert und für einen Ordner Aktion "löschen" zur Überwachung ausgewählt. Mehr habe ich nicht gemacht. Ich leite aus Deiner Antwort aber ab, dass es weitere Einstellungsmöglichkeiten gibt, die ich offenbar nicht kenne.
Bitte warten ..
Mitglied: DerWoWusste
23.03.2010 um 13:18 Uhr
Du kannst doch den Personenkreis einschränken - zur Zeit ist eventuell die Aktion löschen für "jeder" überwacht. Ändere auf die Benutzer/Gruppen, die in Frage kommen oder auf die Gruppe Domänenbenutzer.
Bitte warten ..
Mitglied: fontemagno
23.03.2010 um 13:52 Uhr
Hallo,

danke für Deine Antwort. Aktuell habe ich das aber auch nur für einen Benutzer gemacht, um ein Feeling für die Datenmenge zu bekommen. Die Einträge zu der eigentlichen Fileüberwachung sind auch überschaubar; geflutet wird das Log überwiegend von store.exe einträgen.
Bitte warten ..
Mitglied: DerWoWusste
23.03.2010 um 14:01 Uhr
Gut, dann gib an, ob die store.exe-Einträge auch Überwachungseinträge sind und wenn ja, was dabei überwacht wird.
Bitte warten ..
Mitglied: fontemagno
07.04.2010 um 09:42 Uhr
Hallo,

ich habe mal exemplarisch zwei Eintrage gepostet. Diese werden - neben den eigentlichen Dateizugriffen - ebenfalls geloggt. Es wäre natürlich schön, wenn das loggen dieser Einträge abschaltbar wäre.

Objektzugriffsversuch:
Objektserver: Security
Handlekennung: 2572
Objekttyp: File
Prozesskennung: 2852
Abbilddateiname: …\explorer.exe
Zugriffe: Attribute lesen
Zugriffsmaske: 0x80

Geschlossenes Handle:
Objektserver: Microsoft Exchange
Handlekennung: 201108328
Prozesskennung: 4736
Abbilddateiname: …\Exchsrvr\bin\store.exe
Bitte warten ..
Mitglied: Nachtexpress-
12.10.2011 um 17:38 Uhr
Hallo!

Wir haben das gleiche Problem.
Ich habe http://support.microsoft.com/kb/841001/en-us gefunden, und die Lösung 1 sieht vielversprechend aus.
Die Einstellung heißt auf Deutsch: Überwachung: Zugriff auf globale Systemobjekte prüfen

Mal sehen was nach dem Serverneustart passiert.
Bitte warten ..
Ähnliche Inhalte
Windows Server
Windows BranchCache - nur mit aktivierter Windows-Firewall? (2)

Frage von User1000 zum Thema Windows Server ...

Verschlüsselung & Zertifikate
gelöst Bitlocker konnte nicht aktiviert werden (15)

Frage von EvilMoe zum Thema Verschlüsselung & Zertifikate ...

Windows Server
RDS: 120 Tage Testlizenz wurde nicht aktiviert (3)

Frage von schollw zum Thema Windows Server ...

Neue Wissensbeiträge
Multimedia

Raspberry Pi als Digital-Signage-Computer

(1)

Information von BassFishFox zum Thema Multimedia ...

Windows Update

Novemberpatches und Nadeldrucker bereiten Kopfschmerzen

(15)

Tipp von MettGurke zum Thema Windows Update ...

Windows 10

Abhilfe für Abstürze von CDPUsersvc auf Win10 1607 und 2016 1607

(7)

Tipp von DerWoWusste zum Thema Windows 10 ...

Heiß diskutierte Inhalte
Router & Routing
Freigabe aus anderem Netz nicht erreichbar (21)

Frage von McLion zum Thema Router & Routing ...

Windows Server
Kennwort vergessen bei Hyper vserver 2012r (20)

Frage von jensgebken zum Thema Windows Server ...

Batch & Shell
Batch Programm verhalten bei shoutdown -p (19)

Frage von Michael-ITler zum Thema Batch & Shell ...

Festplatten, SSD, Raid
gelöst Raidcontroller funktioniert nur, wenn unter Legacy-Boot gestartet wird (14)

Frage von DerWoWusste zum Thema Festplatten, SSD, Raid ...