問題描述：

Windows機(jī)器上某些文件被異常刪除，打包。懷疑入侵。如何排查。

問題解決：

1、 配置組策略

開始菜單選擇“運(yùn)行”打開“組策略編輯器”

依次定位到【計(jì)算機(jī)配置】--【W(wǎng)indows設(shè)置】--【安全設(shè)置】--【高級審核策略配置】--【系統(tǒng)審核策略】--【對象訪問】，雙擊右側(cè)的【審核文件系統(tǒng)】，勾選【定義這些策略設(shè)置】及【成功】項(xiàng)，【失敗】項(xiàng)不需要打勾。

2、 添加審核目錄

右鍵單擊需要審核的文件夾，選擇【屬性】，然后切換到【安全】標(biāo)簽，單擊【高級】按鈕，在新對話框中切換到【審核】標(biāo)簽，添加要審核的用戶、組，在【審核項(xiàng)目】中勾選和刪除相關(guān)的項(xiàng)目。 需要審核everyone對于該文件夾和子文件夾的刪除動作，

例如，在測試環(huán)境中的C:\tmp配置如下：

右鍵單擊目錄C:\tmp,選擇【安全】->【高級】,選擇【審核】，而后添加，針對主體【everyone】, 審核高級權(quán)限中的【刪除子文件夾及文件】，【刪除】2條

此外，增加安全日志的大小，在事件查看器中，右鍵單擊安全，將日志大小設(shè)置為120512KB

3、 測試，刪除C:\tmp\testfile.txt， 隨后在安全日志找到事件ID為4646的記錄如下，顯示administrator用戶通過explorer.exe進(jìn)行了操作。

阿里云ECS   阿里云代理商