Skip to main content
Die deutsche Sprachversion wurde als Serviceleistung für Sie durch maschinelle Übersetzung erstellt. Bei eventuellen Unstimmigkeiten hat die englische Sprachversion Vorrang.

ONTAP Revisionsrichtlinien für NTFS Security-Style-Dateien und -Verzeichnisse konfigurieren

Beitragende netapp-aherbin netapp-sumathi netapp-aaron-holt netapp-dbagwell netapp-ahibbard netapp-thomi
Änderungen vorschlagen
PDFs

Bevor Sie Revisionsdatei- und Verzeichnisvorgänge überwachen können, müssen Sie Revisionsrichtlinien für die Dateien und Verzeichnisse konfigurieren, für die Sie Revisionsinformationen erfassen möchten. Dies ist zusätzlich zur Einrichtung und Aktivierung der Revisionskonfiguration erforderlich. NTFS-Revisionsrichtlinien können über die Registerkarte „Windows-Sicherheit“ oder über die ONTAP CLI konfiguriert werden.

Konfiguration von NTFS-Revisionsrichtlinien über die Registerkarte „Windows-Sicherheit“

Sie können NTFS-Überwachungsrichtlinien für Dateien und Verzeichnisse über die Registerkarte Windows-Sicherheit im Fenster „Windows-Eigenschaften“ konfigurieren. Dies entspricht der Methode, die auch bei der Konfiguration von Überwachungsrichtlinien für Daten auf einem Windows-Client verwendet wird, wodurch die gewohnte grafische Benutzeroberfläche genutzt werden kann.

Bevor Sie beginnen

Die Überwachung muss auf der Storage Virtual Machine (SVM) konfiguriert werden, die die Daten enthält, auf die Sie Systemzugriffskontrolllisten (SACLs) anwenden.

Über diese Aufgabe

Die Konfiguration von NTFS-Überwachungsrichtlinien erfolgt durch Hinzufügen von Einträgen zu NTFS-SACLs, die einem NTFS-Sicherheitsdeskriptor zugeordnet sind. Der Sicherheitsdeskriptor wird anschließend auf NTFS-Dateien und Verzeichnisse angewendet. Diese Aufgaben werden automatisch von der Windows-Benutzeroberfläche übernommen. Der Sicherheitsdeskriptor kann diskretionäre Zugriffskontrolllisten (DACLs) zur Anwendung von Datei- und Ordnerzugriffsberechtigungen, SACLs für Datei- und Ordnerüberwachung oder sowohl SACLs als auch DACLs enthalten.

Um NTFS-Überwachungsrichtlinien mithilfe der Registerkarte Windows-Sicherheit auf einem Windows-Host festzulegen, sind die folgenden Schritte erforderlich:

Schritte

  1. Im Menü Extras des Windows Explorers Netzlaufwerk verbinden auswählen.

  2. Das Feld Netzlaufwerk verbinden ausfüllen:

    1. Einen Laufwerksbuchstaben auswählen.

    2. Im Feld Ordner ist der Name des SMB-Servers anzugeben, der die Freigabe mit den zu prüfenden Daten sowie den Namen der Freigabe enthält.

      Sie können die IP-Adresse der Datenschnittstelle für den SMB-Server anstelle des SMB-Servernamens angeben.

      Wenn Ihr SMB-Servername “SMB_SERVER” ist und Ihre Freigabe “share1” heißt, sollte \\SMB_SERVER\share1 eingegeben werden.

    3. Klicken Sie auf Finish.

    Das von Ihnen ausgewählte Laufwerk ist eingebunden und einsatzbereit, wobei das Windows Explorer-Fenster die in der Freigabe enthaltenen Dateien und Ordner anzeigt.

  3. Wählen Sie die Datei oder das Verzeichnis aus, für das Sie den Revisionszugriff aktivieren möchten.

  4. Klicken Sie mit der rechten Maustaste auf die Datei oder das Verzeichnis und wählen Sie dann Eigenschaften.

  5. Die Registerkarte Sicherheit auswählen.

  6. Auf Erweitert klicken.

  7. Die Registerkarte Überwachung auswählen.

  8. Führen Sie die gewünschten Aktionen aus:

    Wenn Sie möchten…​.

    Folgendes ist durchzuführen

    Überwachung für einen neuen Benutzer oder eine neue Gruppe einrichten

    1. Klicken Sie auf Add.

    2. Im Feld „Geben Sie den Namen des auszuwählenden Objekts ein“ den Namen des Benutzers oder der Gruppe eingeben, die hinzugefügt werden soll.

    3. Klicken Sie auf OK.

    Auditing für einen Benutzer oder eine Gruppe entfernen

    1. Im Feld „Geben Sie den Namen des auszuwählenden Objekts ein“ den Benutzer oder die Gruppe auswählen, die entfernt werden soll.

    2. Klicken Sie auf Entfernen.

    3. Klicken Sie auf OK.

    4. Der Rest dieses Vorgangs kann übersprungen werden.

    Änderungsüberwachung für einen Benutzer oder eine Gruppe

    1. Im Feld „Geben Sie den Objektnamen ein, um ihn auszuwählen“ wird der Benutzer oder die Gruppe ausgewählt, die geändert werden soll.

    2. Klicken Sie auf Bearbeiten.

    3. Klicken Sie auf OK.

    Wenn die Überwachung für einen Benutzer oder eine Gruppe eingerichtet oder die Überwachung für einen bestehenden Benutzer oder eine bestehende Gruppe geändert wird, öffnet sich das Feld „Überwachungseintrag für <object>“.

  9. Im Feld Anwenden auf kann ausgewählt werden, wie dieser Revisionsdatensatz angewendet werden soll.

    Sie können eine der folgenden Optionen auswählen:

    • Dieser Ordner, Unterordner und Dateien

    • Dieser Ordner und Unterordner

    • Nur dieser Ordner

    • Dieser Ordner und Dateien

    • Nur Unterordner und Dateien

    • Nur Unterordner

    • Nur Dateien Wenn Sie das Revisionsprotokoll für eine einzelne Datei einrichten, ist das Feld Anwenden auf nicht aktiv. Die Einstellung für das Feld Anwenden auf ist standardmäßig auf Nur dieses Objekt gesetzt.

    Hinweis

    Da das Revisionsprotokoll SVM-Ressourcen beansprucht, sollte nur das minimale Niveau ausgewählt werden, das die Revisionsprotokoll-Ereignisse bereitstellt, die den Sicherheitsanforderungen entsprechen.

  10. Im Feld Zugriff kann ausgewählt werden, was protokolliert werden soll und ob erfolgreiche Ereignisse, Fehlerereignisse oder beides protokolliert werden.

    • Zum Prüfen erfolgreicher Ereignisse das Kontrollkästchen „Erfolg“ auswählen.

    • Fehlerereignisse werden protokolliert, wenn das Kontrollkästchen „Fehler“ ausgewählt ist.

      Es sollten nur die Aktionen überwacht werden, die zur Erfüllung der Sicherheitsanforderungen erforderlich sind. Weitere Informationen zu diesen überwachbaren Ereignissen enthält die Windows-Dokumentation. Die folgenden Ereignisse können geprüft werden:

    • Volle Kontrolle

    • Ordner durchsuchen / Datei ausführen

    • Ordner auflisten / Daten lesen

    • Attribute lesen

    • Erweiterte Attribute lesen

    • Dateien erstellen / Daten schreiben

    • Ordner erstellen / Daten anhängen

    • Attribute schreiben

    • Erweiterte Attribute schreiben

    • Unterordner und Dateien löschen

    • Löschen

    • Leseberechtigungen

    • Berechtigungen ändern

    • Verantwortung übernehmen

  11. Wenn die Revisionsprotokoll-Einstellung nicht auf nachfolgende Dateien und Ordner des ursprünglichen Containers übertragen werden soll, ist das Kontrollkästchen Diese Revisionsprotokolleinträge nur auf Objekte und/oder Container innerhalb dieses Containers anwenden auszuwählen.

  12. Auf Anwenden klicken.

  13. Nachdem das Hinzufügen, Entfernen oder Bearbeiten von Revisionsprotokolleinträgen abgeschlossen ist, auf OK klicken.

    Der Prüfeintrag für <object> wird geschlossen.

  14. Im Feld Überwachung können die Vererbungseinstellungen für diesen Ordner ausgewählt werden.

    Wählen Sie nur die minimale Stufe aus, die die für Ihre Sicherheitsanforderungen erforderlichen Revisionsereignisse bereitstellt. Es stehen die folgenden Optionen zur Auswahl:

    • Das Kontrollkästchen „Vererbbare Überwachungseinträge vom übergeordneten Objekt einbeziehen“ auswählen.

    • Das Kontrollkästchen „Alle vorhandenen vererbbaren Überwachungseinträge auf allen Nachfolgern durch vererbbare Überwachungseinträge aus diesem Objekt ersetzen“ auswählen.

    • Wählen Sie beide Kästchen aus.

    • Keines der Kästchen wird ausgewählt. Wenn SACLs für eine einzelne Datei festgelegt werden, ist das Kontrollkästchen „Alle vorhandenen vererbbaren Überwachungseinträge auf allen Nachfolgern durch vererbbare Überwachungseinträge von diesem Objekt ersetzen“ im Bereich „Überwachung“ nicht vorhanden.

  15. Klicken Sie auf OK.

    Das Prüfungsfenster wird geschlossen.

NTFS-Revisionsrichtlinien mithilfe der ONTAP CLI konfigurieren

Sie können Überwachungsrichtlinien für Dateien und Ordner mithilfe der ONTAP CLI konfigurieren. Dies ermöglicht die Konfiguration von NTFS-Überwachungsrichtlinien, ohne eine Verbindung zu den Daten über eine SMB-Freigabe auf einem Windows-Client herstellen zu müssen.

NTFS-Revisionsrichtlinien lassen sich mithilfe der vserver security file-directory Befehlssuite konfigurieren.

NTFS-SACLs können ausschließlich über die Befehlszeilenschnittstelle (CLI) konfiguriert werden. Die Konfiguration von NFSv4-SACLs wird mit dieser ONTAP Befehlsfamilie nicht unterstützt. Weitere Informationen zur Verwendung dieser Befehle zum Konfigurieren und Hinzufügen von NTFS-SACLs zu Dateien und Ordnern befinden sich in der "ONTAP-Befehlsreferenz".