Acompanhamento de arquivos baixados para USB pós-evento

Question

Eu dirijo uma pequena empresa e um funcionário sênior foi embora recentemente. Quando estava prestes a reformatar o computador, descobri que, pouco antes de deixar a empresa, o funcionário acessava alguns locais de arquivo muito confidenciais e confidenciais na unidade de rede e também acessava uma unidade removível rotulada e: /. Eu descobri isso através da guia de lugares recentes no Windows Explorer. Parece muito com arquivos sensíveis e confidenciais que seriam muito valiosos e úteis para a competição. Obviamente, me sinto um pouco tolo porque, com uma pequena equipe e uma pequena empresa emergente, eu queria criar uma atmosfera de confiança e, por isso, não tinha as pesadas funções de bloqueio de computadores que as grandes empresas têm. Existe uma maneira que eu possa ver quais foram os arquivos reais que foram transferidos da unidade de rede para o pós-evento da unidade removível, ou seja, agora? Este evento aconteceu no dia 12 de setembro, 12 dias atrás. Muito obrigado antecipadamente por qualquer ajuda.

    

Answer 1

Fonte: Blog de Resposta a Incidentes do Windows Copiando arquivos

Every now and again, I see the question of "where does Windows keep logs of files copied to a thumb drive, or CD/DVD?" Recently, I saw that question posted to several lists, as well as emailed directly to my inbox. ;-) As such, I thought it would be a good idea to address that issue here, and maybe get comments back from others with respect to how they might address this kind of situation.

In general, Windows does not maintain a record or log of files that are copied. Whether you use the command line "copy", or use drag-n-drop, there simply isn't a record on Windows systems that show, "on this date, user X copied this file from here to here". Using something like WMI, someone could surely write a file system monitor that looked for and correlated file accesses to file creations...but that might be complicated, as you would need to also alert on removable storage devices being attached to the system and then include those within your monitoring scheme. However, this model wouldn't take into account instances in which a user opened a file in, say, MS Word, and then chose "Save As..." from the File menu and saved the file to another location.