Domena - brisanje/izmjena datoteka - tko i kako?

[Deamon101]

Poštovani

Imam jedan problem.

Radi se o tome da je firma namještena na način da smo svi u domeni i svi se spajamo preko accounta sa domene(domain users) osim nas naravno informatičara koji smo domain administratori.

Problem je taj što već neko vrijeme nestaju dokumenti sa 2 računala(2 korisnika) koji rade na istim stvarima.

Pitanje je : kako saznati tko je i kada brisao?

Znam da se može pristupiti računalima npr. dok su upaljena sa \\imeračunala\c$ pa tako se može i prčkati po disku....isto tako svako računalo ima i lokalni admin account za koji nije isključeno da netko zna šifru...

Even viewer mi ništa ne pomaže....pod windows/security ...tu bih trebao danima valjda tražiti informaciju jer je brdo logova...a filteri su mi ništa korisit odnosno trebam se više informirati oko toga koju informaciju tražim(u biti tražim potencijalni winlogon...ili logon ili kako već i znam da će to vjerojatno biti zabilježeno...dok npr. gornji primjer sa \\imeračunala\c$ vjerojatno neće nigdje biti zapisan?

Jedino što mi kao informatičaru pada na pamet da stavim kod njih bios password pa da tako testiramo...al opet...netko može dok ljudi rade neometano pristupiti c: i raditi što hoće tako da to nije najsretnije riješenje.

Hvala svima na trudu!
edit : istražujem auditing kako se s time radi to valjda tome i služi..
edit 2 : oh Bože auditing bilježi sve i svašta ali probam to sutra nekako na poslu složit...za par minuta rada on zabilježi 100 stranica podataka...kad bih išao rezimirat jedan radni dan to bi trajalo vječnost..

[syss]

ak vam je postavljeno da svi mogu preko admin share-a doći do diskova onda je to blago rečeno loše postavljeno

ne kužim ovo sa bios paswordom?

zakaj ne zakriptirate te diskove i dženja?

isto tako možeš napraviti remote manage na te kompove i gledaj tko ti je sve logiran na koji share pa odeš fino do te osobe i pitaš da kaj on ima se logirati na tuđi komp, obično se onda ekipa zasere i prestanu se događati takvi "gremlini".

[tor]

pa ne može preko admin shera do diska ako ne zna admin podatke jel...
I ako sam dobro shvatio - svaki komp ima svoje podatke kod sebe lokalno, na koje se po potrebi spaja netko od drugih korisnika i rad na tim istim podacima, a i obrnuto? To je prilično loše, što zbog ovakvih stvari, što zbog backupa i slično. Ne znam koliko kompova je u igri, no jedan kakav takav centralni file server ili imalo napredniji NAS bi to dovelo u malo veći red nego što je sad.

I što znači "osim nas informatičara koji se spajamo kao domain admini"? Pa nije vrag da na kompu radiš pod domain admin userom? I uz to, vas je koliko takvih koji svakodnevno švrljaju po domeni s admin ovlastima nad njom?

[syss]

Autor tor

pa ne može preko admin shera do diska ako ne zna admin podatke jel...

bravo šerloče

Autor Deamon101

...isto tako svako računalo ima i lokalni admin account za koji nije isključeno da netko zna šifru...

[tor]

da i? Lokalni admin, pod "admin podatke" samo mislio domain admin pass
Jedino ako nisu svi lokalni admini postavljeni s istom šifrom koju je netko provalio Onda mu ni ne treba domain admin podaci

[syss]

pa spajaš se na lokalni admin share... brijem da će on primiti i lokalne i domain admin kredenšlse, možda sam u krivu isto tako.

[tor]

s kompa na komp kao regular user nećeš ući preko admin shera ako nemaš domain admin user i pass, 100%. JEDINO ako ne znaš podatke od lokalnog admina tog kompa na koji se spajaš naravno, a i onda ćeš moći samo na taj komp ofkors, a i ne na sve ostale u mreži jel.

[syss]

brijem da imaju isti password za lokalne admine na svim strojevima zato i velim da ako netko zna pass može samo letat s kompa na komp.

tak jasno da ko juzer nemreš uletit na admin šer jer se to zove admin šer, a ne user šer

[tor]

tak već da, no sad smo već otišli malo predaleko, a od njega ni traga ni glasa

[syss]

da... mene zanima još uvijek ovaj bios pass dio

[tor]

da, i to bih volio čuti između ostaloga
Mislim, kakav je to informatičar a nije onlajn stalno, pogotovo na temi koju je i otvorio

[syss]

definitivno popričati sa njegovim nadređenima ne zbog probijene admin šifre, pa čak i ne (pretpostavljam) zbog biosa, nego zbog nebivanja online stalno

[Forace]

Kak niste skužili bios dio? Pa staviš bios šifru ... i to je to , po mogućnosti master tako da ne može user niti komp upalit i fino kad pali komp informatičar dolazi do njega - ukucava mu šifru i potrvrđuje da je korisnik taj koji treba biti .

[Deamon101]

Ah zašto nije online strgan od posla pa odspavao do sad a i nisam očekivao interes za ovakvu temu da će mi itko odgovoriti.

Zaboravite bios password.

Da pojasnim još jednom...

Više stotina user-a postoji, svaki user ima svoj komp i samo njega koristi sa svojim username/passwordom, koji nije lokalni user nego domain user, te iako netko drugi može upisati svoj username i pass na tuđi komp svejedno on nikako ne može vidjeti od drugog usera ni desktop, ni my documents, u biti ništa, ti useri osim na svom profilu nemaju nikakva prava izvan svog profila te nisu ni administratori..ne mogu instaliravat ništa.

Domain admin-a postoji možda cca 20 ili manje.

[syss]

on "fizički" je lokalni user, ali ima domain user prava... naravno da nemre gledati profil drugog usera niti njegove dokumente.

da li su ti sporni fajlovi u profilu korisnika ili na ostatku diska negdje?

ako su u profilu korisnika pristupa im isključivo netko sa domain admin kredenšlsima pošto jedino oni i sam user mogu uletit u profil.

ako su drugdje na disku onda pristupa preko admin share-a remote ili lokalno pod bilo kojim userom.

[Deamon101]

Dokumenti su isključivo u profilu korisnika, i da jedino im domain admin + ako je netko saznao lokalni admin account/pass koji je na svim kompovima isti može pristupiti.

Ja odem do bilo kojeg PC-a u firmi, i upišem start/run/"\\imepca\c$" te me nakon tog pita username i pass, upišem "\\imepca\imelokalnogadminaccounta + pass" i vidim drive c...ili upišem svoj domena\username + pass pa me pusti jer sam admin.

Šefovi informatike su nam neslužbeno rekli da ne govorimo da je to moguće...tako prčkati po nečijem disku a da ovaj ni ne zna..

Uglavnom prvi korak će mi biti brisanje lokalnog administratorskog accounta da elimininiram da je netko saznao šifru i time ću svest sumnju na manji broj osoba očito..

I mislio sam staviti taj prokleti auditing na ta 2 desktop foldera i čekati da mi ovi prijave brisanje pa onda po datumu čačkat u event vieweru u nadi da ću naći neki podatak koji bi me vodio do počinitelja...

[syss]

oke šefovi informatike moraju biti svjesni postojanja domain admina kao i njihovih moralnih te etičkih obaveza prema korisnicima i računalima.

prvi korak ti je korak od katastrofe iskreno

ni slučajno ubiti lokalnog admina nego jednostavno promijeni pass lokalnog admina na ta dva računala.

[Forace]

Veliš više stotina usera ... jel vi imate roaming profile ili su user profili loklno pohranjeni? Jer ak su u pitanju roaming profili (ili je user profile na mreži tj. serveru) te ako postavke nad tim direktorijima na serveru nisu ispravno složene ... onda imate veselje ;D.

Ubijanje lokalnog admina te onda odpajanje računala iz mreže/domene bi mogao bit zanimljiv prizor, iako moram priznat da to nisam nikad probao, znam da sam se spasio par puta sa lokalnim adminom ... .

[Deamon101]

Autor syss

ni slučajno ubiti lokalnog admina nego jednostavno promijeni pass lokalnog admina na ta dva računala.

Ok promijenit ću pass samo pa vidjet...

Nego taj auditing(ukoliko ovo gore ne uspije) je onda jedini način da malo dublje pročačkam? On kad se postavi na neki folder onda kao prati sve promjene koje mu označiš da prati. Nisam to u životu nikad koristio pa eto pitam.

Forace - nisu roaming profili. Podaci su lokalno na kompu. A što se tiče admin acc...pa zaboga zato je tu HirensBoot s kojim kreiram user-a lokalnog po volji ili od-disejblam Administrator-a ako dođe do sr*.

[Forace]

Pa poznavajući windowse vjerojatno se može konfigurirat što da točno prati. Vjerojatno dolazi na način da sve prati ali se vjerojatno se to može smanjit.

Ovdje napominje jednu zgodnu stvar:

http://technet.microsoft.com/en-us/l...8WS.10%29.aspx

Možeš konfigurirat auditing na folderu -> desni klik -> Advanced security .... i onda imaš kvačice succesful i failed za razne stvari ... pa onda postavi samo za delete i delete subfolders.

S tim da sam taj tab našao na sedmici ali koliko vidim trebalo bi radit i na serveru.

[Deamon101]

1. promijenim pass lokalnog administrator-a
2. stavim auditing na desktop folder od 2 usera i stavim kvačice da prati "delete"
3. čekam ponovni poziv i potraga po beskonačnom log-u od samo 24/48 sata ....jer ni korisnici obzirom na količinu datoteka ne mogu primjetiti promjene sve dok im ti dokumenti ne zatrebaju :/

Moglo bi proći par tjedana do ponovnog incidenta...možda pogledam kojeg poručnika Kolumba u međuvremenu

[syss]

Autor syss

isto tako možeš napraviti remote manage na te kompove i gledaj tko ti je sve logiran na koji share pa odeš fino do te osobe i pitaš da kaj on ima se logirati na tuđi komp, obično se onda ekipa zasere i prestanu se događati takvi "gremlini".

olakšaj si sa ovime, rađe to ostaviš negdje na desktopu upaljeno i baciš oko tu i tamo nego da iščitavaš log od 5mb

[Forace]

Ili ... neka postavi praćenje logiranja na admin sharove .... to se ne dešava tako često ako sam dobro shvatio....

Znači tu mislim auditing na pristup admin sheru ... u biti logiranje toga što je syss rekao .

[Deamon101]

"napraviti remote manage na tim kompovima" može objašnjenje?

ne znam o kakvim share govorite ovo su obični c:\documents and settings\user\dektop\folderi koji nisu shared.

[syss]

desni gumb na computer, manage, action, connect to another computer, upiši ime stroja, system tools, shared folders, sessions... eh moj domain admine

[Deamon101]

Heh pa jel se ja hvalim nešto? (prisjetio sam se toga sada kad si to rekao, ali budući da sam to koristio možda 1 i 2x zaboravio sam na to..)

Kakva mi je plaća tolko i vrijedim ja sam samo jedan mali kotačić u velikom sistemu