یک ویژگی کوچک خوب در ویندوز^(Windows) تعبیه شده است که به شما امکان می دهد زمانی که شخصی چیزی را در یک پوشه مشخص مشاهده، ویرایش یا حذف می کند، ردیابی کنید. بنابراین اگر پوشه یا فایلی^{(folder or file)} وجود دارد که می خواهید بدانید چه کسی به آن دسترسی دارد، این روش داخلی بدون نیاز به استفاده از نرم افزار شخص ثالث است.

این ویژگی در واقع بخشی از یک  ویژگی امنیتی ویندوز به نام ^{(Windows security)}Group Policy است که توسط اکثر متخصصان فناوری اطلاعات^{(IT Professionals)} که کامپیوترها را در شبکه شرکتی از طریق سرورها مدیریت می‌کنند، استفاده می‌شود، با این حال، می‌توان آن را به صورت محلی در رایانه شخصی بدون هیچ سروری نیز استفاده کرد. تنها نقطه ضعف استفاده از Group Policy این است که در نسخه های پایین تر ویندوز^(Windows) در دسترس نیست . برای ویندوز 7^{(Windows 7)} ، باید ویندوز 7 ^{(Windows 7)} حرفه ای^{(Professional)} یا بالاتر داشته باشید. برای ویندوز 8^{(Windows 8)} ، به Pro یا Enterprise نیاز دارید .

اصطلاح Group Policy اساساً به مجموعه ای از تنظیمات رجیستری اشاره دارد که می توانند از طریق یک رابط کاربری^{(user interface)} گرافیکی کنترل شوند . تنظیمات مختلف را فعال یا غیرفعال می‌کنید و سپس این ویرایش‌ها در رجیستری ویندوز^{(Windows registry)} به‌روزرسانی می‌شوند .

در ویندوز XP^{(Windows XP)} ، برای رفتن به ویرایشگر خط مشی^{(policy editor)} ، روی Start و سپس Run کلیک کنید . در جعبه متن، " gpedit.msc " را بدون نقل قول مانند زیر تایپ کنید:

در ویندوز 7^{(Windows 7)} ، فقط روی دکمه Start کلیک کنید و ^{(Start button and type)}gpedit.msc را در کادر جستجو^{(search box)} در پایین منوی استارت^{(Start Menu)} تایپ کنید . در ویندوز 8^{(Windows 8)} ، به سادگی به صفحه شروع^{(Start Screen)} بروید و شروع به تایپ کنید یا نشانگر ماوس^{(mouse cursor)} خود را به سمت راست بالا یا پایین صفحه ببرید تا نوار Charms باز شود و روی جستجو^(Search) کلیک کنید . سپس فقط gpedit را تایپ کنید. حالا باید چیزی شبیه به تصویر زیر ببینید:

دو دسته اصلی از سیاست ها وجود دارد: کاربر^(User) و رایانه^(Computer) . همانطور که ممکن است حدس بزنید، سیاست های کاربر تنظیمات را برای هر کاربر کنترل می کند در حالی که تنظیمات رایانه تنظیمات گسترده سیستم خواهد بود و بر همه کاربران تأثیر می گذارد. در مورد ما می خواهیم تنظیمات ما برای همه کاربران باشد، بنابراین بخش پیکربندی رایانه^{(Computer Configuration)} را گسترش می دهیم .

به گسترش به تنظیمات ویندوز^{(Windows Settings)} ->  Security Settings -> Local Policies -> Audit Policy ادامه دهید . من قصد ندارم بسیاری از تنظیمات دیگر را در اینجا توضیح دهم زیرا این تنظیمات در درجه اول بر روی ممیزی یک پوشه متمرکز است. اکنون مجموعه ای از خط مشی ها و تنظیمات فعلی آنها را در سمت^{(hand side)} راست می بینید . سیاست حسابرسی^{(Audit policy)} چیزی است که کنترل می کند آیا سیستم عامل^{(operating system)} پیکربندی شده و آماده ردیابی تغییرات است یا خیر.

اکنون تنظیمات مربوط به Audit Object Access را با دوبار کلیک کردن روی آن و انتخاب هر دو Success و Failure بررسی کنید. روی OK کلیک کنید^{(Click OK)} و اکنون قسمت اول را تمام کردیم که به ویندوز می گوییم که می خواهیم برای نظارت بر تغییرات آماده باشد. اکنون مرحله بعدی این است که به آن بگویید دقیقاً^(EXACTLY) چه چیزی را می خواهیم ردیابی کنیم. اکنون می توانید کنسول Group Policy^{(Group Policy console)} را ببندید .

اکنون با استفاده از Windows Explorer^{(Windows Explorer)} به پوشه ای که می خواهید نظارت کنید بروید. در Explorer ، روی ^(Explorer)پوشه^{(folder and click)} کلیک راست کرده و روی Properties کلیک کنید . روی تب Security^{( Security Tab)} کلیک کنید و چیزی شبیه به این را مشاهده می کنید:

حالا روی دکمه Advanced کلیک کنید و روی تب Auditing کلیک کنید. اینجاست که ما در واقع آنچه را که می خواهیم برای این پوشه نظارت کنیم پیکربندی می کنیم.

ادامه دهید و روی دکمه افزودن^(Add) کلیک کنید. یک گفتگو ظاهر می شود که از شما می خواهد یک کاربر یا گروه^{(User or Group)} را انتخاب کنید . در کادر، کلمه “ ^{(word “)}users ” را تایپ کنید و روی Check Names کلیک کنید . کادر به طور خودکار با نام گروه کاربران محلی رایانه شما به شکل COMPUTERNAME\Users به ​​روز می شود.

روی OK کلیک کنید^{(Click OK)} و اکنون یک گفتگوی دیگر به نام " ورودی حسابرسی برای X^{(Audit Entry for X)} " دریافت خواهید کرد. این گوشت واقعی کاری است که ما می خواستیم انجام دهیم. در اینجا جایی است که آنچه را که می خواهید برای این پوشه تماشا کنید، انتخاب می کنید. شما می‌توانید به‌صورت جداگانه انتخاب کنید که کدام نوع فعالیت را می‌خواهید ردیابی کنید، مانند حذف یا ایجاد فایل‌ها/پوشه‌های جدید، و غیره. برای آسان‌تر کردن کار، پیشنهاد می‌کنم کنترل کامل^{(Full Control)} را انتخاب کنید، که به‌طور خودکار همه گزینه‌های دیگر زیر آن را انتخاب کنید. این کار را برای موفقیت^(Success) و شکست^(Failure) انجام دهید . به این ترتیب، هر کاری که روی آن پوشه یا فایل های داخل آن انجام شود، یک رکورد خواهید داشت.

حالا روی OK کلیک کنید و دوباره OK و یک بار دیگر OK کنید تا از مجموعه جعبه محاوره ای^{(dialog box)} چندگانه خارج شوید . و اکنون شما با موفقیت حسابرسی را در یک پوشه پیکربندی کرده اید! بنابراین ممکن است بپرسید، رویدادها را چگونه می بینید؟

برای مشاهده رویدادها باید به Control Panel رفته و روی^{(Control Panel and click)} Administrative Tools^{(Administrative Tools)} کلیک کنید . سپس Event Viewer را باز کنید . روی بخش امنیت^(Security) کلیک کنید و لیست بزرگی از رویدادها را در سمت راست مشاهده^{(hand side)} خواهید کرد :

اگر پیش بروید و یک فایل بسازید یا به سادگی پوشه را باز کنید و روی دکمه Refresh^{(Refresh button)} در Event Viewer کلیک کنید (دکمه با دو فلش سبز)، مجموعه ای از رویدادها را در دسته سیستم فایل^{( File System)} مشاهده خواهید کرد. اینها مربوط به هر گونه عملیات حذف، ایجاد، خواندن، نوشتن در پوشه ها/فایل هایی است که در حال بررسی آن هستید. در ویندوز 7^{(Windows 7)} ، همه چیز اکنون در دسته بندی وظایف File System^{(File System task)} نشان داده می شود ، بنابراین برای اینکه ببینید چه اتفاقی افتاده است، باید روی هر کدام کلیک کرده و در آن اسکرول کنید.

برای سهولت در بررسی بسیاری از رویدادها، می توانید یک فیلتر قرار دهید و فقط موارد مهم را ببینید. روی منوی ^(Click)View در بالا کلیک کنید و روی Filter کلیک کنید . اگر گزینه ای برای Filter وجود ندارد، در صفحه سمت چپ روی گزارش امنیتی^{(Security log)} کلیک راست کرده و Filter Current Log را انتخاب کنید . در کادر Event ID^{(Event ID box)} عدد 4656 را وارد کنید. این رویداد مربوط به یک کاربر خاص است که یک عملکرد سیستم فایل ^{(File System )} را انجام می دهد و اطلاعات مربوطه را بدون نیاز به جستجوی هزاران ورودی به شما می دهد.

اگر می خواهید اطلاعات بیشتری در مورد یک رویداد به دست آورید، برای مشاهده کافی است روی آن دوبار کلیک کنید.

این اطلاعات از صفحه بالا است:

یک دسته برای یک شی درخواست شد.^{(A handle to an object was requested.)}

موضوع: ^(Subject:)
Security ID: Aseem-Lenovo\Aseem
نام حساب Aseem-LenovoAseem: ^{( Account Name: Aseem)}
دامنه حساب Aseem: شناسه ورود Aseem-Lenovo ^{( Account Domain: Aseem-Lenovo)}
: 0x175a1^{( Logon ID: 0x175a1)}

شیء: ^(Object:)
سرور شیء: امنیت ^{( Object Server: Security)}
نوع شیء: فایل ^{( Object Type: File)}
Object Name: C:\Users\Aseem\Desktop\Tufu\New Text Document.txt
شناسه دسته: 0x16a0^{( Handle ID: 0x16a0)}

اطلاعات ^{(Process Information:)}
فرآیند: شناسه فرآیند: 0x820 ^{( Process ID: 0x820)}
Process Name: C:\Windows\explorer.exe

اطلاعات درخواست دسترسی: ^{(Access Request Information:)}
شناسه تراکنش: {00000000-0000-0000-0000-000000000000} ^{( Transaction ID: {00000000-0000-0000-0000-000000000000})}
دسترسی ها: DELETE ^{( Accesses: DELETE)}
SYNCHRONIZE
ReadAttributes

در مثال بالا، فایلی که روی آن کار شد New Text Document.txt در پوشه Tufu^{(Tufu folder)} روی دسکتاپ من بود و دسترسی هایی که درخواست کردم DELETE و سپس SYNCHRONIZE بود. کاری که من اینجا انجام دادم حذف فایل بود. این هم یک مثال دیگر:

نوع شی: فایل ^{( Object Type: File)}
Object Name: C:\Users\Aseem\Desktop\Tufu\Address Labels.docx
شناسه دسته: 0x178^{( Handle ID: 0x178)}

اطلاعات ^{(Process Information:)}
فرآیند: شناسه فرآیند: 0x1008 ^{( Process ID: 0x1008)}
Process Name: C:\Program Files (x86)\Microsoft Office\Office14\WINWORD.EXE

اطلاعات درخواست دسترسی: ^{(Access Request Information:)}
شناسه تراکنش: {00000000-0000-0000-0000-0000000000000 ^{( Transaction ID: {00000000-0000-0000-0000-000000000000})}
دسترسی ها: READ_CONTROL ^{( Accesses: READ_CONTROL)}
SYNCHRONIZE
ReadData (یا ListDirectory) ^{( ReadData (or ListDirectory))}
WriteData (یا AddFile) ^{( WriteData (or AddFile))}
WriteData (یا AddFile ^{( AppendData (or AddSubdirectory or CreatePipeInstance))}) ^{( WriteAttributes)}
AppenddirectoryAntributeAppeats ^{( ReadEA)}
Writea ^{( WriteEA)}
.^{( ReadAttributes)}

دلایل دسترسی: READ_CONTROL: اعطا شده توسط مالکیت ^{( Access Reasons: READ_CONTROL: Granted by Ownership)}
SYNCHRONIZE: اعطا شده توسط D:(A;ID;FA;;;S-1-5-21-597862309-2018615179-2090787082-1000)^{( SYNCHRONIZE: Granted by D:(A;ID;FA;;;S-1-5-21-597862309-2018615179-2090787082-1000))}

همانطور که این مطلب را می خوانید، می بینید که من با استفاده از برنامه WINWORD.EXE به ^{(WINWORD.EXE program)}Address^{(Address Labels.docx)} Labels.docx دسترسی پیدا کردم و دسترسی های من شامل READ_CONTROL بود و دلایل دسترسی من نیز READ_CONTROL بود. معمولاً تعداد زیادی دسترسی بیشتر خواهید دید، اما فقط روی مورد اول تمرکز کنید زیرا معمولاً نوع اصلی دسترسی است. در این مورد، من به سادگی فایل را با استفاده از Word باز کردم . برای اینکه بفهمید چه اتفاقی در حال رخ دادن است، کمی آزمایش و مطالعه^{(testing and reading)} از طریق رویدادها نیاز دارد، اما وقتی آن را خاموش کنید، سیستم بسیار قابل اعتمادی است. من پیشنهاد می کنم یک پوشه آزمایشی^{(test folder)} با فایل ها ایجاد کنید و اقدامات مختلفی را انجام دهید تا ببینید چه چیزی در Event Viewer نشان داده می شود .

تقریباً همین است! راهی سریع و رایگان برای ردیابی دسترسی یا تغییرات^{(access or changes)} به یک پوشه!

How to Track When Someone Accesses a Folder on Your Computer

There’s а nice little feature built into Windows that allows you to track when someone views, edits, or deletes something inside of a specіfied folder. So if there’s a folder or file that you want to know who is aсcessing, then this is the built-in method without having to use third-party software.

This feature is actually part of a Windows security feature called Group Policy, which is used by most IT Professionals who manage computers in the corporate network via servers, however, it can also be used locally on a PC without any servers. The only downside to using Group Policy is that it is not available in lower versions of Windows. For Windows 7, you need to have Windows 7 Professional or higher. For Windows 8, you need Pro or Enterprise.

The term Group Policy basically refers to a set of registry settings that can be controlled via a graphical user interface. You enable or disable various settings and these edits are then updated in the Windows registry.

In Windows XP, to get to the policy editor, click on Start and then Run. In the text box, type “gpedit.msc” without the quotes as shown below:

In Windows 7, you would just click on the Start button and type gpedit.msc into the search box at the bottom of the Start Menu. In Windows 8, simply go to the Start Screen and start typing or move your mouse cursor to the far top or bottom right of the screen to open the Charms bar and click on Search. Then just type in gpedit. Now you should see something that is similar to the image below:

There are two main categories of policies: User and Computer. As you might have guessed, the user policies control the settings for each user whereas the computer settings will be system wide settings and will effect all users. In our case we’re going to want our setting to be for all users, so we’ll expand the Computer Configuration section.

Continue expanding to Windows Settings -> Security Settings -> Local Policies -> Audit Policy. I’m not going to explain much of the other settings here since this is primarily focused on auditing a folder. Now you’ll see a set of policies and their current settings on the right hand side. Audit policy is what controls whether or not the operating system is configured and ready to track changes.

Now check the setting for Audit Object Access by double clicking on it and selecting both Success and Failure. Click OK and now we’re done the first part which is telling Windows that we want it to be ready to monitor changes. Now the next step is to tell it what EXACTLY we want to track. You can close out of the Group Policy console now.

Now navigate to the folder using Windows Explorer that you would like to monitor. In Explorer, right click on the folder and click Properties. Click on the Security Tab and you see something similar to this:

Now click on the Advanced button and click on the Auditing tab. This is where we’ll actually configure what we want to monitor for this folder.

Go ahead and click the Add button. A dialog will appear asking you to select a User or Group. In the box, type in the word “users” and click Check Names. The box will automatically update with the name of the local users group for your computer in the form COMPUTERNAME\Users.

Click OK and now you’ll get another dialog called “Audit Entry for X“. This is the real meat of what we’ve been wanting to do. Here is where you’ll select what you want to watch for this folder. You can individually choose which types of activity you want to track, such as deleting or creating new files/folders, etc. To make things easier, I suggest selecting Full Control, which will automatically select all the other options below it. Do this for Success and Failure. This way, whatever is done to that folder or the files within it, you will have a record.

Now click OK and click OK again and OK one more time to get out of the multiple dialog box set. And now you have successfully configured auditing on a folder! So you might ask, how do you view the events?

In order to view the events, you need to go to the Control Panel and click on Administrative Tools. Then open up the Event Viewer. Click on the Security section and you’ll see a large listing of events on the right hand side:

If you go ahead and create a file or simply open the folder and click the Refresh button in the Event Viewer (the button with the two green arrows), you’ll see a bunch of events in the category of File System. These pertain to any delete, create, read, write operations on the folders/files you are auditing. In Windows 7, everything now shows up under File System task category, so in order to see what happened, you’ll have to click on each one and scroll through it.

In order to make it easier to look through so many events, you can put a filter and just see the important stuff. Click on the View menu at the top and click on Filter. If there is no option for Filter, then right-click on the Security log in the left-hand page and choose Filter Current Log. In the Event ID box, type in the number 4656. This is the event associated with a particular user performing a File System action and will give you the relevant information without having to look through thousands of entries.

If you want to get more information about an event, simply double click on it to view.

This is the information from the screen above:

A handle to an object was requested.

Subject:
Security ID: Aseem-Lenovo\Aseem
Account Name: Aseem
Account Domain: Aseem-Lenovo
Logon ID: 0x175a1

Object:
Object Server: Security
Object Type: File
Object Name: C:\Users\Aseem\Desktop\Tufu\New Text Document.txt
Handle ID: 0x16a0

Process Information:
Process ID: 0x820
Process Name: C:\Windows\explorer.exe

Access Request Information:
Transaction ID: {00000000-0000-0000-0000-000000000000}
Accesses: DELETE
SYNCHRONIZE
ReadAttributes

In the example above, the file worked on was New Text Document.txt in the Tufu folder on my desktop and the accesses that I requested were DELETE followed by SYNCHRONIZE. What I did here was delete the file. Here’s another example:

Object Type: File
Object Name: C:\Users\Aseem\Desktop\Tufu\Address Labels.docx
Handle ID: 0x178

Process Information:
Process ID: 0x1008
Process Name: C:\Program Files (x86)\Microsoft Office\Office14\WINWORD.EXE

Access Request Information:
Transaction ID: {00000000-0000-0000-0000-000000000000}
Accesses: READ_CONTROL
SYNCHRONIZE
ReadData (or ListDirectory)
WriteData (or AddFile)
AppendData (or AddSubdirectory or CreatePipeInstance)
ReadEA
WriteEA
ReadAttributes
WriteAttributes

Access Reasons: READ_CONTROL: Granted by Ownership
SYNCHRONIZE: Granted by D:(A;ID;FA;;;S-1-5-21-597862309-2018615179-2090787082-1000)

As you read through this, you can see I accessed Address Labels.docx using the WINWORD.EXE program and my accesses included READ_CONTROL and my access reasons were also READ_CONTROL. Usually, you’ll see a bunch more accesses, but just focus on the first one as that’s usually the main type of access. In this case, I simply opened the file using Word. It does take a little testing and reading through the events to understand what’s going on, but once you have it down, it’s a very reliable system. I suggest creating a test folder with files and performing various actions to see what shows up in the Event Viewer.

That’s pretty much it! A quick and free way to track access or changes to a folder!

Related posts

• نحوه ایجاد یک پوشه ایمن و قفل شده در ویندوز XP

• نحوه ذخیره طرح آیکون دسکتاپ خود در ویندوز XP، 7، 8

• نحوه رفع خطای Missing orrupt NTFS.sys در ویندوز XP

• دسترسی از راه دور به رایانه Windows XP یا Windows Server 2003

• با استفاده از تنظیمات درایور، یک چاپگر شبکه را از ویندوز XP نصب کنید

• نحوه تعمیر MBR در ویندوز XP و Vista

• چگونه تنظیمات سرور پروکسی را در رایانه خود بررسی کنید

• 8 جایگزین ارزان تر برای Geek Squad برای تعمیر رایانه شما

• Fix Folder وجود ندارد - Origin error در ویندوز 10

• خالی Folder Cleaner: Delete Empty Folders and Files در Windows 10

• چگونه یک سایت تست وردپرس را بر روی کامپیوتر خود نصب کنیم

• چگونه برای تغییر یا بازگرداندن default icon برای Folder در Windows 10

• msvcr120.dll در رایانه شما وجود ندارد؟ 8 راه برای تعمیر

• تیم های مایکروسافت روی رایانه شما باز نمی شوند؟ 9 راه حل برای امتحان

• ویندوز نمی تواند access Shared Folder or Drive در Windows 10

• چگونه شبکه های وای فای دیگر را هنگام اتصال به رایانه پنهان کنیم

• پوشه Perflogs در Windows 10 چیست؟

• چگونه مدل کامپیوتر خود را در ویندوز پیدا کنیم

• چگونه اعلان های دستگاه اندرویدی خود را در رایانه خود دریافت کنید

• چگونه ویندوز 8 RTM را روی رایانه خود نصب کنید -