Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

Datenflut bei aktivierter Objektzugriffüberwachung (W2K3)

Frage Microsoft Windows Server

Mitglied: fontemagno

fontemagno (Level 1) - Jetzt verbinden

23.03.2010, aktualisiert 09:22 Uhr, 3135 Aufrufe, 7 Kommentare

Hallo,

bei einem Kunden sollen einige Verzeichnisse bzgl. der Zugriffe überwacht werden. Die rechtlichen Belange dazu sind geklärt. Nun habe ich das Problem, dass nach aktivierter Objektzugriffüberwachung auf einem W2K3 Server neben den gewünschten Informationen über Dateizugriffe auch massig Einträge von z.B. Exchange (store.exe), mmc.exe oder auch explorer.exe erscheinen. Und das ganze nahezu im Sekundentakt. Gibt es eine Möglichkeit, diese Einträge auszuklammern, und zwar nicht erst durch einen Filter bei der Logansicht, sondern so, dass diese erst gar nicht im Log erscheinen. Hab' gegoogelt und bislang keine brauchbaren Ideen gefunden.

Über Tips wäre ich sehr dankbar.
Mitglied: DerWoWusste
23.03.2010 um 10:22 Uhr
Moin.
Wie die Objektzugriffsüberwachung eingestellt ist, verschweigst Du. Wo also sollen Helfer ansetzen?
Bitte warten ..
Mitglied: fontemagno
23.03.2010 um 13:02 Uhr
Hallo,
ich habe die Objektzgriffsüberwachung per Richtlinie aktiviert und für einen Ordner Aktion "löschen" zur Überwachung ausgewählt. Mehr habe ich nicht gemacht. Ich leite aus Deiner Antwort aber ab, dass es weitere Einstellungsmöglichkeiten gibt, die ich offenbar nicht kenne.
Bitte warten ..
Mitglied: DerWoWusste
23.03.2010 um 13:18 Uhr
Du kannst doch den Personenkreis einschränken - zur Zeit ist eventuell die Aktion löschen für "jeder" überwacht. Ändere auf die Benutzer/Gruppen, die in Frage kommen oder auf die Gruppe Domänenbenutzer.
Bitte warten ..
Mitglied: fontemagno
23.03.2010 um 13:52 Uhr
Hallo,

danke für Deine Antwort. Aktuell habe ich das aber auch nur für einen Benutzer gemacht, um ein Feeling für die Datenmenge zu bekommen. Die Einträge zu der eigentlichen Fileüberwachung sind auch überschaubar; geflutet wird das Log überwiegend von store.exe einträgen.
Bitte warten ..
Mitglied: DerWoWusste
23.03.2010 um 14:01 Uhr
Gut, dann gib an, ob die store.exe-Einträge auch Überwachungseinträge sind und wenn ja, was dabei überwacht wird.
Bitte warten ..
Mitglied: fontemagno
07.04.2010 um 09:42 Uhr
Hallo,

ich habe mal exemplarisch zwei Eintrage gepostet. Diese werden - neben den eigentlichen Dateizugriffen - ebenfalls geloggt. Es wäre natürlich schön, wenn das loggen dieser Einträge abschaltbar wäre.

Objektzugriffsversuch:
Objektserver: Security
Handlekennung: 2572
Objekttyp: File
Prozesskennung: 2852
Abbilddateiname: …\explorer.exe
Zugriffe: Attribute lesen
Zugriffsmaske: 0x80

Geschlossenes Handle:
Objektserver: Microsoft Exchange
Handlekennung: 201108328
Prozesskennung: 4736
Abbilddateiname: …\Exchsrvr\bin\store.exe
Bitte warten ..
Mitglied: Nachtexpress-
12.10.2011 um 17:38 Uhr
Hallo!

Wir haben das gleiche Problem.
Ich habe http://support.microsoft.com/kb/841001/en-us gefunden, und die Lösung 1 sieht vielversprechend aus.
Die Einstellung heißt auf Deutsch: Überwachung: Zugriff auf globale Systemobjekte prüfen

Mal sehen was nach dem Serverneustart passiert.
Bitte warten ..
Ähnliche Inhalte
Windows Server
Windows BranchCache - nur mit aktivierter Windows-Firewall? (2)

Frage von User1000 zum Thema Windows Server ...

Windows Server
gelöst Migration Domäne von W2k3 auf W2k12 R2 (12)

Frage von Kuenscher zum Thema Windows Server ...

Neue Wissensbeiträge
Windows 10

Windows 8.x oder 10 Lizenz-Key aus dem ROM auslesen mit Linux

(6)

Tipp von Lochkartenstanzer zum Thema Windows 10 ...

Tipps & Tricks

Wie Hackt man sich am besten in ein Computernetzwerk ein

(40)

Erfahrungsbericht von Herbrich19 zum Thema Tipps & Tricks ...

Heiß diskutierte Inhalte
Windows 10
gelöst Windows 10 Home "Netzlaufwerk nicht bereit" (19)

Frage von Oggy01 zum Thema Windows 10 ...

Exchange Server
gelöst RU 17 Exchange 2010 . Erfahrungen? (10)

Frage von keine-ahnung zum Thema Exchange Server ...

DNS
gelöst Komplette TLD Überschreiben bzw eigene Definieren (10)

Frage von Herbrich19 zum Thema DNS ...

Datenbanken
gelöst MySQL Zeiterfassungs-Problematik (wer ist eingecheckt) (9)

Frage von NativeMode zum Thema Datenbanken ...