Папка аудита, какая группа дает вам доступ

Question

https://www.online-tech-tips.com/windows-xp/how-to-track-and-monitor-who-and-when-someone-accesses-a-folder-on-your-computer/

Я следовал этому руководству, чтобы добавить аудит в определенную папку. Я добавил "Все" в аудит пользователей.

Когда я сейчас что-то изменяю в папке (создаю папку) и вижу активность в журнале событий Windows.

Но где я могу прочитать, какая группа дала мне доступ к определенной папке? Видите такие вещи, как это: D:(A;OICI;FA;;;WD) о причине доступа.

Есть ли какой-то загадочный перевод "EveryOne" в "Группе"

Что мне нужно знать в основном; Какие пользователи используют определенный каталог и имеют доступ, потому что они находятся в "EveryOne"

Мы хотим удалить "EveryOne" из определенной папки, но нам нужно знать, какие пользователи используют "группу", чтобы мы могли поместить их в другую группу

Заранее спасибо

Answer 1

Приведенный выше текст отформатирован с использованием языка определения дескриптора безопасности (SDDL https://msdn.microsoft.com/en-us/library/windows/desktop/aa379567(v=vs.85).aspx). Обратитесь к https://msdn.microsoft.com/en-us/library/windows/desktop/aa374928(v=vs.85).aspx для декодирования строки sddl.

1. "D:" означает, что DACL изменен или создан.
2. Число пар парантезов обозначает количество добавленных или измененных записей контроля доступа (в данном случае 1).
3. OICI - указывает, что ACE применяется к этой папке, ее файлам и подпапкам.
4. FA обозначает, какое разрешение фактически предоставлено (Полный доступ).
5. Наконец, WD означает "Все".

Также см. https://blogs.technet.microsoft.com/askds/2008/05/07/the-security-descriptor-definition-language-of-love-part-2/