C'è una piccola funzionalità integrata in Windows che ti consente di tenere traccia di quando qualcuno visualizza, modifica o elimina qualcosa all'interno di una cartella specificata. Quindi, se c'è una cartella o un file^{(folder or file)} a cui vuoi sapere chi sta accedendo, allora questo è il metodo integrato senza dover utilizzare software di terze parti.

Questa funzionalità è in realtà parte di una funzionalità di sicurezza di Windows^{(Windows security)}  denominata Criteri^{( Group Policy)} di gruppo , utilizzata dalla maggior parte dei professionisti IT^{(IT Professionals)} che gestiscono i computer nella rete aziendale tramite server, tuttavia può essere utilizzata anche localmente su un PC senza server. L'unico aspetto negativo dell'utilizzo di Criteri^{(Group Policy)} di gruppo è che non è disponibile nelle versioni precedenti di Windows . Per Windows 7 è necessario disporre di Windows 7 Professional o versioni successive. Per Windows 8 , hai bisogno di Pro o Enterprise .

Il termine Criteri^{(Group Policy)} di gruppo si riferisce fondamentalmente a un insieme di impostazioni del registro che possono essere controllate tramite un'interfaccia utente grafica^{(user interface)} . Si abilitano o si disabilitano varie impostazioni e queste modifiche vengono quindi aggiornate nel registro di Windows^{(Windows registry)} .

In Windows XP , per accedere all'editor dei criteri^{(policy editor)} , fare clic su Start e quindi su Esegui^(Run) . Nella casella di testo, digita " gpedit.msc " senza le virgolette come mostrato di seguito:

In Windows 7 , è sufficiente fare clic sul pulsante Start e digitare ^{(Start button and type)}gpedit.msc nella casella di ricerca^{(search box)} nella parte inferiore del menu Start^{(Start Menu)} . In Windows 8 , vai semplicemente alla schermata Start^{(Start Screen)} e inizia a digitare o sposta il cursore del mouse^{(mouse cursor)} nell'estrema parte superiore o inferiore destra dello schermo per aprire la barra degli accessi^(Charms) e fare clic su Cerca^(Search) . Quindi digita semplicemente gpedit . Ora dovresti vedere qualcosa di simile all'immagine qui sotto:

Esistono due categorie principali di criteri: Utente^(User) e Computer . Come avrai intuito, le politiche utente controllano le impostazioni per ciascun utente mentre le impostazioni del computer saranno impostazioni a livello di sistema e avranno effetto su tutti gli utenti. Nel nostro caso, vorremo che le nostre impostazioni siano per tutti gli utenti, quindi espanderemo la sezione Configurazione del computer^{(Computer Configuration)} .

Continua a espandere in Impostazioni di Windows^{(Windows Settings)} ->  Security Settings -> Local Policies -> Audit Policy . Non spiegherò gran parte delle altre impostazioni qui poiché si concentra principalmente sull'auditing di una cartella. Ora vedrai una serie di criteri e le relative impostazioni correnti sul lato^{(hand side)} destro . La politica di controllo^{(Audit policy)} è ciò che controlla se il sistema operativo^{(operating system)} è configurato o meno e pronto per tenere traccia delle modifiche.

Ora controlla l'impostazione per Audit Object Access facendo doppio clic su di esso e selezionando sia Successo^(Success) che Fallimento^(Failure) . Fai clic su OK^{(Click OK)} e ora abbiamo terminato la prima parte che dice a Windows che vogliamo che sia pronto per monitorare le modifiche. Ora il prossimo passo è dirgli cosa ESATTAMENTE^(EXACTLY) vogliamo tracciare. Ora puoi chiudere la console dei criteri di gruppo^{(Group Policy console)} .

Ora vai alla cartella usando Windows Explorer che desideri monitorare. In Explorer , fare clic con il pulsante destro del mouse sulla cartella e fare clic su ^{(folder and click)} Proprietà^(Properties) . Fai clic sulla scheda Sicurezza^{( Security Tab)} e vedrai qualcosa di simile a questo:

Ora fai clic sul pulsante Avanzate^(Advanced) e fai clic sulla scheda Auditing . Qui è dove configureremo effettivamente ciò che vogliamo monitorare per questa cartella.

Vai avanti e fai clic sul pulsante Aggiungi^(Add) . Apparirà una finestra di dialogo che ti chiederà di selezionare un utente o un gruppo^{(User or Group)} . Nella casella, digita la parola " ^{(word “)}utenti^(users) " e fai clic su Verifica nomi^{(Check Names)} . La casella si aggiornerà automaticamente con il nome del gruppo di utenti locali per il tuo computer nel modulo COMPUTERNAME\Users .

Fai clic su OK^{(Click OK)} e ora otterrai un'altra finestra di dialogo chiamata " Audit Entry for X ". Questa è la vera carne di quello che volevamo fare. Qui è dove selezionerai cosa vuoi guardare per questa cartella. Puoi scegliere individualmente quali tipi di attività vuoi monitorare, come eliminare o creare nuovi file/cartelle, ecc. Per semplificare le cose, ti suggerisco di selezionare Controllo completo^{(Full Control)} , che selezionerà automaticamente tutte le altre opzioni sottostanti. Fallo per il successo^(Success) e il fallimento^(Failure) . In questo modo, qualunque cosa venga fatta a quella cartella o ai file al suo interno, avrai un record.

Ora fai clic su OK e fai nuovamente clic su OK e su OK ancora una volta per uscire dal set di finestre di dialogo^{(dialog box)} multiple . E ora hai configurato correttamente l'auditing su una cartella! Quindi potresti chiedere, come vedi gli eventi?

Per visualizzare gli eventi è necessario accedere al Pannello di controllo e fare clic^{(Control Panel and click)} su Strumenti di amministrazione^{(Administrative Tools)} . Quindi apri il Visualizzatore eventi^{(Event Viewer)} . Fai clic sulla sezione Sicurezza^(Security) e vedrai un ampio elenco di eventi sul lato^{(hand side)} destro :

Se vai avanti e crei un file o semplicemente apri la cartella e fai clic sul pulsante Aggiorna^{(Refresh button)} nel Visualizzatore eventi^{(Event Viewer)} (il pulsante con le due frecce verdi), vedrai un sacco di eventi nella categoria File System . Questi riguardano qualsiasi operazione di eliminazione, creazione, lettura e scrittura sulle cartelle/file che si sta controllando. In Windows 7 , tutto ora viene visualizzato nella categoria delle attività File System^{(File System task)} , quindi per vedere cosa è successo, dovrai fare clic su ciascuno e scorrerlo.

Per semplificare la visualizzazione di così tanti eventi, puoi inserire un filtro e vedere solo le cose importanti. Clicca^(Click) sul menu Visualizza in alto e clicca su ^(View)Filtro^(Filter) . Se non è disponibile alcuna opzione per Filtro^(Filter) , fai clic con il pulsante destro del mouse sul registro di sicurezza^{(Security log)} nella pagina a sinistra e scegli Filtra registro corrente^{(Filter Current Log)} . Nella casella ID evento^{(Event ID box)} , digitare il numero 4656 . Questo è l'evento associato a un particolare utente che esegue un'azione del file system ^{(File System )} e ti fornirà le informazioni rilevanti senza dover esaminare migliaia di voci.

Se desideri ottenere maggiori informazioni su un evento, fai semplicemente doppio clic su di esso per visualizzarlo.

Queste sono le informazioni dalla schermata in alto:

È stato richiesto un handle per un oggetto.^{(A handle to an object was requested.)}

Oggetto: ^(Subject:)
Security ID: Aseem-Lenovo\Aseem
Nome account Aseem ^{( Account Name: Aseem)}
: Dominio account Aseem: ^{( Account Domain: Aseem-Lenovo)}
ID accesso Aseem-Lenovo: 0x175a1^{( Logon ID: 0x175a1)}

Oggetto: ^(Object:)
Server oggetti: Sicurezza ^{( Object Server: Security)}
Tipo oggetto: File ^{( Object Type: File)}
Object Name: C:\Users\Aseem\Desktop\Tufu\New Text Document.txt
ID handle: 0x16a0^{( Handle ID: 0x16a0)}

Informazioni ^{(Process Information:)}
sul processo: ID processo: 0x820 ^{( Process ID: 0x820)}
Process Name: C:\Windows\explorer.exe

Informazioni sulla richiesta di accesso: ^{(Access Request Information:)}
ID transazione: {00000000-0000-0000-0000-000000000000} ^{( Transaction ID: {00000000-0000-0000-0000-000000000000})}
Accessi: DELETE ^{( Accesses: DELETE)}
SYNCHRONIZE
ReadAttributes

Nell'esempio sopra, il file su cui ho lavorato era New Text Document.txt nella cartella Tufu^{(Tufu folder)} sul mio desktop e gli accessi che ho richiesto sono stati DELETE seguiti da SYNCHRONIZE . Quello che ho fatto qui è stato eliminare il file. Ecco un altro esempio:

Tipo di oggetto: File ^{( Object Type: File)}
Object Name: C:\Users\Aseem\Desktop\Tufu\Address Labels.docx
ID maniglia: 0x178^{( Handle ID: 0x178)}

Informazioni ^{(Process Information:)}
sul processo: ID processo: 0x1008 ^{( Process ID: 0x1008)}
Process Name: C:\Program Files (x86)\Microsoft Office\Office14\WINWORD.EXE

Informazioni sulla richiesta di accesso: ^{(Access Request Information:)}
ID transazione: {00000000-0000-0000-0000-000000000000} ^{( Transaction ID: {00000000-0000-0000-0000-000000000000})}
Accessi: READ_CONTROL ^{( Accesses: READ_CONTROL)}
SYNCHRONIZE
ReadData (o ListDirectory) ^{( ReadData (or ListDirectory))}
WriteData (o AddFile) ^{( WriteData (or AddFile))}
AppendData (o AddSubdirectory o CreatePipeInstance) ^{( AppendData (or AddSubdirectory or CreatePipeInstance))}
ReadEA
WriteEA
ReadAttributes
WriteAttributes

Motivi di accesso: READ_CONTROL: Concesso dalla proprietà ^{( Access Reasons: READ_CONTROL: Granted by Ownership)}
SINCRONIZZA: Concesso da D:(A;ID;FA;;;S-1-5-21-597862309-2018615179-2090787082-1000)^{( SYNCHRONIZE: Granted by D:(A;ID;FA;;;S-1-5-21-597862309-2018615179-2090787082-1000))}

Mentre leggi questo, puoi vedere che ho effettuato l'accesso a Address Labels.docx^{(Address Labels.docx)} usando il programma WINWORD.EXE^{(WINWORD.EXE program)} e i miei accessi includevano READ_CONTROL e anche i miei motivi di accesso erano READ_CONTROL . Di solito vedrai un sacco di accessi in più, ma concentrati solo sul primo poiché di solito è il tipo principale di accesso. In questo caso, ho semplicemente aperto il file usando Word . Ci vuole un po' di test e lettura^{(testing and reading)} degli eventi per capire cosa sta succedendo, ma una volta scaricato, è un sistema molto affidabile. Suggerisco di creare una cartella di prova^{(test folder)} con i file e di eseguire varie azioni per vedere cosa appare nel Visualizzatore eventi^{(Event Viewer)} .

Questo è praticamente tutto! Un modo rapido e gratuito per tenere traccia degli accessi o delle modifiche^{(access or changes)} a una cartella!

How to Track When Someone Accesses a Folder on Your Computer

There’s a nicе little feature built into Windows that allows yoυ to track when someone views, edits, or dеletеs ѕomethіng inside of a specified folder. So if thеre’s a folder or file that you want to know who is accessing, then this is the built-in method without having to use third-party ѕоftware.

This feature is actually part of a Windows security feature called Group Policy, which is used by most IT Professionals who manage computers in the corporate network via servers, however, it can also be used locally on a PC without any servers. The only downside to using Group Policy is that it is not available in lower versions of Windows. For Windows 7, you need to have Windows 7 Professional or higher. For Windows 8, you need Pro or Enterprise.

The term Group Policy basically refers to a set of registry settings that can be controlled via a graphical user interface. You enable or disable various settings and these edits are then updated in the Windows registry.

In Windows XP, to get to the policy editor, click on Start and then Run. In the text box, type “gpedit.msc” without the quotes as shown below:

In Windows 7, you would just click on the Start button and type gpedit.msc into the search box at the bottom of the Start Menu. In Windows 8, simply go to the Start Screen and start typing or move your mouse cursor to the far top or bottom right of the screen to open the Charms bar and click on Search. Then just type in gpedit. Now you should see something that is similar to the image below:

There are two main categories of policies: User and Computer. As you might have guessed, the user policies control the settings for each user whereas the computer settings will be system wide settings and will effect all users. In our case we’re going to want our setting to be for all users, so we’ll expand the Computer Configuration section.

Continue expanding to Windows Settings -> Security Settings -> Local Policies -> Audit Policy. I’m not going to explain much of the other settings here since this is primarily focused on auditing a folder. Now you’ll see a set of policies and their current settings on the right hand side. Audit policy is what controls whether or not the operating system is configured and ready to track changes.

Now check the setting for Audit Object Access by double clicking on it and selecting both Success and Failure. Click OK and now we’re done the first part which is telling Windows that we want it to be ready to monitor changes. Now the next step is to tell it what EXACTLY we want to track. You can close out of the Group Policy console now.

Now navigate to the folder using Windows Explorer that you would like to monitor. In Explorer, right click on the folder and click Properties. Click on the Security Tab and you see something similar to this:

Now click on the Advanced button and click on the Auditing tab. This is where we’ll actually configure what we want to monitor for this folder.

Go ahead and click the Add button. A dialog will appear asking you to select a User or Group. In the box, type in the word “users” and click Check Names. The box will automatically update with the name of the local users group for your computer in the form COMPUTERNAME\Users.

Click OK and now you’ll get another dialog called “Audit Entry for X“. This is the real meat of what we’ve been wanting to do. Here is where you’ll select what you want to watch for this folder. You can individually choose which types of activity you want to track, such as deleting or creating new files/folders, etc. To make things easier, I suggest selecting Full Control, which will automatically select all the other options below it. Do this for Success and Failure. This way, whatever is done to that folder or the files within it, you will have a record.

Now click OK and click OK again and OK one more time to get out of the multiple dialog box set. And now you have successfully configured auditing on a folder! So you might ask, how do you view the events?

In order to view the events, you need to go to the Control Panel and click on Administrative Tools. Then open up the Event Viewer. Click on the Security section and you’ll see a large listing of events on the right hand side:

If you go ahead and create a file or simply open the folder and click the Refresh button in the Event Viewer (the button with the two green arrows), you’ll see a bunch of events in the category of File System. These pertain to any delete, create, read, write operations on the folders/files you are auditing. In Windows 7, everything now shows up under File System task category, so in order to see what happened, you’ll have to click on each one and scroll through it.

In order to make it easier to look through so many events, you can put a filter and just see the important stuff. Click on the View menu at the top and click on Filter. If there is no option for Filter, then right-click on the Security log in the left-hand page and choose Filter Current Log. In the Event ID box, type in the number 4656. This is the event associated with a particular user performing a File System action and will give you the relevant information without having to look through thousands of entries.

If you want to get more information about an event, simply double click on it to view.

This is the information from the screen above:

A handle to an object was requested.

Subject:
Security ID: Aseem-Lenovo\Aseem
Account Name: Aseem
Account Domain: Aseem-Lenovo
Logon ID: 0x175a1

Object:
Object Server: Security
Object Type: File
Object Name: C:\Users\Aseem\Desktop\Tufu\New Text Document.txt
Handle ID: 0x16a0

Process Information:
Process ID: 0x820
Process Name: C:\Windows\explorer.exe

Access Request Information:
Transaction ID: {00000000-0000-0000-0000-000000000000}
Accesses: DELETE
SYNCHRONIZE
ReadAttributes

In the example above, the file worked on was New Text Document.txt in the Tufu folder on my desktop and the accesses that I requested were DELETE followed by SYNCHRONIZE. What I did here was delete the file. Here’s another example:

Object Type: File
Object Name: C:\Users\Aseem\Desktop\Tufu\Address Labels.docx
Handle ID: 0x178

Process Information:
Process ID: 0x1008
Process Name: C:\Program Files (x86)\Microsoft Office\Office14\WINWORD.EXE

Access Request Information:
Transaction ID: {00000000-0000-0000-0000-000000000000}
Accesses: READ_CONTROL
SYNCHRONIZE
ReadData (or ListDirectory)
WriteData (or AddFile)
AppendData (or AddSubdirectory or CreatePipeInstance)
ReadEA
WriteEA
ReadAttributes
WriteAttributes

Access Reasons: READ_CONTROL: Granted by Ownership
SYNCHRONIZE: Granted by D:(A;ID;FA;;;S-1-5-21-597862309-2018615179-2090787082-1000)

As you read through this, you can see I accessed Address Labels.docx using the WINWORD.EXE program and my accesses included READ_CONTROL and my access reasons were also READ_CONTROL. Usually, you’ll see a bunch more accesses, but just focus on the first one as that’s usually the main type of access. In this case, I simply opened the file using Word. It does take a little testing and reading through the events to understand what’s going on, but once you have it down, it’s a very reliable system. I suggest creating a test folder with files and performing various actions to see what shows up in the Event Viewer.

That’s pretty much it! A quick and free way to track access or changes to a folder!

Related posts

• Come creare una cartella protetta e bloccata in Windows XP

• Come salvare il layout dell'icona del desktop in Windows XP, 7, 8

• Come correggere l'errore "NTFS.sys corrotto o mancante" in Windows XP

• Accesso remoto a un computer Windows XP o Windows Server 2003

• Installare una stampante di rete da Windows XP utilizzando la configurazione del driver

• Come installare Windows 8 RTM sul tuo computer -

• Esegui vecchi giochi e programmi DOS in Windows XP, Vista, 7/8/10

• Sincronizza qualsiasi cartella di Windows con Google Drive, OneDrive e Dropbox

• Come configurare Desktop remoto su Windows XP

• Installare una stampante di rete da Windows XP utilizzando l'Installazione guidata stampante

• Windows non può access Shared Folder or Drive in Windows 10

• Come installare una stampante di rete sulla rete domestica o dell'ufficio

• Come trovare il modello del tuo computer in Windows

• 15 consigli per aumentare Your Computer Velocità

• Come controllare le impostazioni del server proxy sul tuo computer

• Come girare ON or OFF Public Folder Condivisione su Windows 10

• Disattiva o rimuovi "Il tuo computer potrebbe essere a rischio" in Windows XP

• Allega un file VHD in Windows XP

• Unisciti a un computer Windows XP a un gruppo home di Windows 7/8/10

• Come aggiungere un programma all'avvio in Windows XP