GUIDE DE DEMARRAGE RAPIDE 4.5. FileAudit VERSION.

Transcription

1 GUIDE DE DEMARRAGE RAPIDE FileAudit 4.5 VERSION

2 Introduction FileAudit surveille l accès ou les tentatives d accès aux fichiers et répertoires sensibles stockés sur vos systèmes Windows. FileAudit permet d auditer, de générer des rapports automatisés et des alertes personnalisables sur tous les accès fichiers. Sans agent et non intrusif, FileAudit peut être utilisé à distance sans aucune installation sur les serveurs de fichiers cibles. Le Guide de démarrage rapide de FileAudit a pour vocation de vous montrer pas à pas, l installation et la configuration du logiciel. Le but est de vous familiariser avec la console et ses concepts basiques. Vous trouverez une description complète de l ensemble des fonctionnalités dans le fichier d aide de FileAudit. Si toutefois vous rencontrez des difficultés ou si vous avez des questions, notre équipe technique est à votre disposition pour vous fournir toute assistance nécessaire. Table des Matières 1. Installer FileAudit Configurer un premier audit et définir une alerte associée Configurer son premier chemin à auditer Définir une alerte sur le répertoire audité Afficher les événements d accès aux fichiers Planifier un rapport expedié par Paramètres supplémentaires Exclure de l audit un utilisateur, un programme ou un format de fichier Autoriser granulairement l accès à fileaudit à certains utilisateurs

3 1. Installer FileAudit Vous pouvez télécharger le package d installation ici. Le nom de ce package est FileAudit_x86.exe. Le package d installation est le même pour les langues française et anglaise. Il est compatible 32 et 64 bits. FileAudit supporte les systèmes d exploitation suivants : Windows XP Windows 2003 Server Windows Vista Windows 2008 Server Windows 7 Windows 2008 R2 Server Windows 8 Windows 2012 Server Windows 2012 R2 Server Le Framework.Net 4 est requis. Il n est pas nécessaire d installer FileAudit sur le système dont vous souhaitez auditer les événements d accès aux fichiers. Vous pouvez par exemple simplement installer FileAudit sur une station de travail et auditer à distance les accès sur les fichiers/répertoires d un serveur. Les événements d accès aux fichiers sont enregistrés dans une base de données. Le package d installation de FileAudit 4 vous fournit un système de base de données gratuit (fichier Microsoft Access). FileAudit supporte les systèmes de base de données suivants : Microsoft Access (fichier mdb) Microsoft SQL Express 2008/2008 R2/2012/2014 Microsoft SQL Server 2008/2008 R2/2012/2014 MySQL 5.6 et supérieur Lancez la procédure d installation en exécutant le fichier téléchargé avec les privilèges administratifs sur la machine choisie. 3

4 Lisez attentivement le Contrat de Licence, Saisissez vos références et cliquez sur Suivant >. acceptez le et cliquez sur Suivant >. Vous pouvez choisir un autre répertoire d installation. Conservez la case Installation standard cochée et cliquez sur Suivant >. FileAudit est prêt pour l installation. Cliquez sur Installer. FileAudit est installé. Cliquez sur Terminer. 4

5 2. Configurer un premier audit et définir une alerte associée Configurer son premier chemin à auditer. Démarrez FileAudit. Vous trouverez 3 grands ensembles de tuiles : Ecran d accueil de FileAudit Audit : Les tuiles vous permettant de configurer votre audit et vos alertes. Accès : Les tuiles affichant la vue des événements d accès et la page Statistiques. Outils : Les tuiles pour personnaliser les paramètres de FileAudit, planifier des rapports automatiques, nettoyer la base de données et accéder aux fichiers d aide. Le bouton Connecter dans le coin supérieur droit de la console vous permet de vous connecter à distance à un autre système possédant le service d audit FileAudit. 5

6 Pour paramétrer votre premier chemin à auditer, cliquez sur la tuile Ajouter un répertoire. Puis cliquez sur le bouton + et sélectionnez le chemin souhaité. Une fois validé, un assistant prend charge le processus de configuration de l audit en vous guidant étape par étape. 6

7 Cet assistant affiche le statut des configurations requises pour l audit NTFS sur le répertoire que vous avez sélectionné. Lorsqu un prérequis est manquant ou qu une action est nécessaire, l assistant de configuration vous proposera de l effectuer automatiquement pour vous ou de vous laisser intervenir manuellement. Nous vous recommandons de toujours laisser FileAudit mettre en place les paramètres d audit. Liste des actions requises. L assistant vous propose d effectuer l action pour vous. FileAudit optimise les paramètres de l audit NTFS. L héritage des paramètres de l Audit NTFS doit être activé sur les sous-dossiers. Le système hôte du répertoire consommera une licence. Activer la surveillance en temps réel des événements. 7

8 Les accès à votre répertoire sont maintenant surveillés par FileAudit. Les événements correspondants seront archivés dans une base de données. Nous vous invitons à rester sur cette vue, notre prochaine étape débutant à partir de cette fenêtre affichant le résultat de la configuration de l audit. Remarque : Outre la méthode précédemment décrite, il existe différentes manières de configurer un chemin à auditer. Lancer la console en effectuant directement un clic-droit sur le fichier ou répertoire dans l Explorateur Windows et en sélectionnant FileAudit dans le menu contextuel. Dans ce cas, certaines étapes seront passées et le chemin sera directement importé dans la console FileAudit. Entrer directement le chemin désiré dans la vue Observateur d accès. Utiliser les boutons Ajouter un répertoire ou Ajouter un fichier de la section Configuration de l audit. D autre part, FileAudit vérifiera toujours le paramétrage de l audit lorsqu un chemin est sélectionné dans ses différentes vues, comme par exemple dans : La vue Observateur d accès, La configuration d un rapport automatisé, La définition d une alerte. 8

9 2.2. Définir une alerte sur le répertoire audité. Une fois l audit NTFS configuré sur le répertoire, vous pouvez définir directement une alerte depuis la fenêtre de résultat. Cliquez sur Ajouter une alerte. FileAudit bascule alors automatiquement sur la création d une alerte pour ce répertoire. Dans l exemple suivant, nous allons définir une alerte qui se déclenchera pour toutes les suppressions effectuées avec succès dans le répertoire My_Data. 9

10 Le premier onglet Principal permet de définir les critères qui déclencheront l alerte . FileAudit peut envoyer une alerte lorsqu un accès a été autorisé ou refusé. Dans notre exemple, nous choisirons de recevoir cette alerte pour toute tentative de suppression. Sélectionnez Accepté et Refusé comme Statut. Sélectionnez ensuite Suppression comme Type d accès. Prenez note qu un événement est généré pour chaque tentative d accès. Si un utilisateur essai de supprimer un fichier d un chemin audité sans les droits suffisant, vous serez alerté d une tentative de suppression avec un accès Refusé. 10

11 Les paramètres suivants permettent de préciser le nom d un Domaine, Utilisateur et/ou Source comme critères de déclenchement. Les champs Domaine, Utilisateur et Source doivent être laissés vides si vous souhaitez que l alerte soit envoyée quel que soit le domaine, l utilisateur ou la source qui généreront l événement. Remarque : La Source de l événement (c est-à-dire le nom du processus générant la tentative d accès) n est pas disponible si l accès du fichier/répertoire est effectué à travers le réseau. Enfin, l interrupteur disponible au bas de l onglet Principal active ou désactive l alerte. L onglet Chemins est déjà pré-rempli puisque nous avons créé cette alerte juste après avoir configuré les paramètres d audit de celui-ci. Cette alerte sera donc déclenchée si un fichier est supprimé depuis le répertoire My_Data. Nous allons maintenant définir un destinataire. Cliquez sur l onglet Destinataires. 11

12 Cliquez sur Ajouter un destinataire. Un formulaire s ouvre alors à droite de la console. Saisissez un nom et une adresse pour le destinataire désiré. Cliquez sur valider pour ajouter ce contact à votre liste de destinataires. Vous pouvez reproduire cette action afin d ajouter plusieurs destinataires si nécessaire. Remarque : Tous les destinataires définis dans une alerte ou un rapport planifié sont enregistrés en tant que paramètres globaux de FileAudit. Ceci vous permet de sélectionner ultérieurement le(s) destinataire(s) depuis une liste de contacts sauvegardés. Le message contenu dans l alerte peut être personnalisé dans l onglet Message . Les variables dynamiques sont indiquées entre accolades { }. Vous trouverez l ensemble des variables dynamiques disponibles ainsi que leur définition dans le fichier d aide. La définition des paramètres de l alerte est maintenant terminée. Cliquez sur Sauvegarder pour valider l alerte. 12

13 Lorsque vous ajoutez une alerte, comme lorsque vous créez un rapport planifié, FileAudit vérifie que les paramètres nécessaires pour l envoi par soient configurés. Jusqu à maintenant, nous n avons pas effectué cette opération. Un message nous informe donc qu il est nécessaire d y remédier. Cliquez sur OK pour être redirigé vers la section Paramètres du menu Configuration des paramètres. Saisissez le nom de votre serveur SMTP, le port requis, ainsi qu une adresse utilisée comme expéditeur des alertes et des rapports planifiés (requiert une adresse valide). Validez ces paramètres en cliquant sur la flèche de retour qui vous ramènera sur le Hub de FileAudit. La configuration de l audit et la définition d une alerte sont maintenant effectives sur le répertoire My_Data. Vérifions maintenant les accès fichiers générés pour ce répertoire. Remarque : Vous pouvez également créer une alerte directement depuis le Hub de FileAudit en cliquant sur Alertes. 13

14 3. Afficher les événements d accès aux fichiers. Cliquez sur la tuile centrale Accès aux fichiers de la vue d accueil de FileAudit. Entrez le chemin dans le champ Chemin(s) pour lequel vous souhaitez obtenir les accès fichiers et validez en tapant Entrée. Vous pouvez également sélectionner un chemin précédemment enregistré dans la vue Configuration de l audit en déployant la liste déroulante du champ Chemin(s). Comme évoqué précédemment, vous pouvez également faire un clic-droit sur le dossier concerné depuis l Explorateur Windows et lancer la console par le menu contextuel en cliquant sur FileAudit. Enfin, vous pouvez également rechercher un chemin en cliquant sur les boutons Auditer un répertoire ou Auditer un fichier disponibles en bas à gauche sur cette vue. Les événements sont alors détectés et archivés dans la base de données en temps réel (si l option est activée sur les paramètres du serveur). Vous pouvez également activer le rafraîchissement de la console en temps réel : un interrupteur Temps réel est disponible en bas à droite. Cliquez sur le bouton rafraichir pour prendre en compte les modifications. Cette vue des accès aux fichiers propose plusieurs options d affichage : tris, regroupements, colonnes, etc. Pour grouper l affichage en fonction d une colonne spécifique, glissez-déposez le nom de la colonne sur l espace disponible sous le champ Chemin(s). Pour afficher les options de filtres et effectuer une recherche, cliquez sur le bouton loupe. Les options de filtrages s afficheront dans la partie droite de la console. D autres options de filtrages et de recherches sont disponibles depuis le menu contextuel sur chaque entête de colonne. Ce menu propose des personnalisations d affichage et vous permet d activer l Editeur de filtres, d afficher le Panneau de recherche et la ligne de filtre automatique. Vous trouverez également pour chaque colonne une fonction de recherche rapide. Lorsque vous survolez le nom des colonnes avec la souris, vous pouvez distinguer une icône «en forme d entonnoir» dans le coin supérieur droit. Cliquez dessus pour afficher la recherche rapide. 14

15 Le bouton Imprimer vous permet de visualiser une version imprimable des accès aux fichiers. Vous pouvez directement lancer une impression ou exporter le résultat dans différents types de format : PDF, Excel, HTML, etc. Remarque : Les options de filtrages et de regroupements disponibles depuis la grille de données n affectent que l affichage des données. Pour effectuer une recherche sur l ensemble des événements archivés dans la base de données, il convient d utiliser les fonctions de recherches accessibles par l icône loupe à droite du champ Chemin(s). Entre-temps, certains utilisateurs ayant supprimé des fichiers du répertoire MyData, l alerte configurée précédemment s est déclenchée en temps réel : 15

16 4. Planifier un rapport expédié par . Vous pouvez planifier un rapport expédié par de deux manières : en cliquant sur la tuile Rapports planifiés depuis l accueil de FileAudit, ou par l intermédiaire du bouton Planification disponible sur la vue des accès aux fichiers. Ouvrez la vue des accès aux fichiers, lancez une recherche en fonction des événements que vous souhaitez obtenir à l aide du bouton Filtrer (icône loupe ). Par exemple, si vous souhaitez obtenir un rapport sur les événements de suppression de fichiers générés la veille, définissez les critères suivants : Réglez le champ De sur la date d hier et l heure sur 08:00. Réglez le champ à sur la date d hier et l heure sur 18:00. Choisissez Autorisé comme Statut. Sélectionnez Suppression comme Type d accès. Cliquez sur Appliquer. Les événements d accès affichés seront alors rafraichis en fonction des ces paramètres de recherche. Cliquez sur le bouton Planification disponible en bas de fenêtre. Vous serez alors automatiquement redirigé vers la section de configuration des Rapports planifiés. Les critères de filtres que vous avez définis sont importés directement dans les champs de paramétrage des trois premiers onglets Principal, Chemins et Temps. Saisissez un nom pour ce rapport dans l onglet Principal. 16

17 Affichez l onglet Destinataires pour spécifier les destinataires de ce rapport. Comme nous avons préalablement défini un destinataire lors de la configuration d une alerte, il est possible de réutiliser ce contact. Cliquez sur Ajouter un destinataire. Un formulaire s ouvre alors à droite de la console. Cliquez sur le bouton Choisir, sélectionner le contact désiré dans la liste et validez. Les informations relatives à ce contact seront alors importées dans le formulaire d ajout de destinataire. Validez le destinataire. Vous pouvez bien sûr ajouter autant de destinataires que souhaité pour un même rapport. L onglet Message contenant le sujet et le texte de l expédié avec le rapport en pièce jointe est déjà prédéfini. Vous pouvez bien entendu le personnaliser à votre guise. 17

18 Le dernier onglet Planification définit la fréquence d exécution de la tâche planifiée. Le Planificateur de FileAudit interprète les périodes de temps que vous avez défini pour générer dynamiquement le rapport sur la même période relative. Le rapport ayant été configuré pour afficher les événements du jour précédent, si la planification est quotidienne, le résultat sera toujours relatif au jour précédent l exécution. Des filtres de temps prédéfinis sont également disponibles dans l onglet Temps pour ajuster de manière plus facile les périodes de temps relatives souhaitées, comme Hier, Semaine en cours, Semaine précédente, etc Vous pouvez d ores et déjà tester votre rapport en cliquant sur le bouton Test. Un pop-up vous indiquera le statut du lancement du test. Si tout se déroule correctement, le rapport sera généré au format PDF et transmis par à la liste de destinataires que vous avez établie. Ce test permet de confirmer que le rapport obtenu est conforme à vos attentes. Dans le cas contraire, vous pouvez modifier ses paramètres. Cliquez sur Sauvegarder pour valider votre premier rapport automatique. Vous serez redirigé sur l accueil de la section Rapports planifiés, à partir de laquelle vous pourrez éditer les rapports définis ou en créer de nouveaux. 18

19 5. Paramètres supplémentaires Exclure de l audit un utilisateur, un programme ou un format de fichier. Dans les Paramètres de FileAudit, vous pouvez définir dans la section Option du scanner des conditions d exclusion de l audit. Ceci est particulièrement utile pour ignorer les événements d accès aux fichiers générés par un système de sauvegarde, un antivirus, etc. 19

20 5.2. Autoriser granulairement l accès à FileAudit à certains utilisateurs. Vous pouvez définir dans FileAudit des permissions d accès pour des comptes utilisateur dépourvus de privilèges d administrateur. Ces comptes pourront ainsi avoir accès à FileAudit selon les droits qui leur sont attribués. La section Permissions vous permet ainsi d autoriser l accès à l audit pour certains utilisateurs en toute sécurité. Vous pouvez ensuite activer les connexions à distance au service d audit FileAudit dans la section Service. Vous n avez ainsi pas besoin de donner un accès direct en tant qu administrateur sur le système où FileAudit est installé. 20

21 Il suffit d effectuer une installation personnalisée sur la machine d un auditeur non informaticien en sélectionnant seulement le composant Console de FileAudit. Le bouton Connecter dans le coin supérieur droit de la console permet de se connecter à distance à l environnement FileAudit entièrement préconfiguré selon les permissions préalablement définies pour ce compte. 21