Como monitorar alterações de permissão de pasta

Question

Descobri que minhas permissões de pasta temporária às vezes são alteradas e isso faz com que muitos programas não funcionem corretamente, já que eles não podem mais gravar na pasta. Em seguida, defino manualmente as permissões de volta ao estado correto, mas elas são alteradas novamente depois de alguns dias, e isso é muito frustrante. Quero descobrir qual programa está alterando-os.

Existe uma maneira de saber qual executável alterou as permissões de uma pasta? Existe uma maneira de monitorar ou registrar alterações de permissão?

EDIT Também aceito qualquer comentário ou resposta que me ajude a impedir que os programas modifiquem as permissões

    

Answer 1

Você tem duas opções, dependendo de sua preferência ou necessidades específicas:

Procmon

Usando o Procmon, você deseja definir filtros para o seguinte:

1. Operação: filtre por SetSecurityFile (use a condição "é"). Isso mostrará qualquer evento no qual uma ACL é modificada em um arquivo ou diretório.
2. Caminho: defina isso para o caminho para sua pasta temporária. Se seu caminho for c:\path\to\temp , insira isso. Novamente, use a condição "é", no entanto, você pode usar a condição "começa com" se quiser ver as alterações da ACL nas subpastas.

Se isso precisar ser de longa duração, você provavelmente desejará ativar a opção "Ignorar eventos filtrados" no menu Ferramentas.

Os benefícios de usar o Procmon são que é simples fazer o download e executar com pouca pré-configuração, em detrimento da necessidade de mantê-lo funcionando o tempo todo.

Auditoria do sistema de arquivos

Para usar a auditoria, você precisará fazer o seguinte:

1. Na política local (ou no GPO aplicável) do computador, ative as auditorias de sucesso por meio de um dos itens a seguir:
   • Computer Configuration | Policies | Windows Settings | Security Settings | Local Policies | Audit Policy | Audit Object Access
   • Computer Configuration | Policies | Windows Settings | Security Settings | Advanced Audit Policy Configuration | Audit Policies | Object Access | Audit File System
2. Ative a auditoria em seu diretório clicando com o botão direito do mouse no diretório no Windows Explorer e selecionando Properties | Security | Advanced | Auditing | Edit... | Add... . Em seguida, insira Everyone como o principal de segurança a ser auditado. Por último, marque a caixa "Bem-sucedido" para "Alterar permissões".
3. No log de eventos de segurança, procure pelo evento 4663 ou 4670.