มีคุณลักษณะเล็กๆ น้อยๆ ในตัวWindowsที่ช่วยให้คุณติดตามเมื่อมีคนดู แก้ไข หรือลบบางสิ่งภายในโฟลเดอร์ที่ระบุ ดังนั้นหากมีโฟลเดอร์หรือไฟล์^{(folder or file)}ที่คุณต้องการทราบว่าใครกำลังเข้าถึง นี่คือวิธีการที่มีอยู่แล้วภายในโดยไม่ต้องใช้ซอฟต์แวร์ของบริษัทอื่น

คุณลักษณะนี้เป็นส่วนหนึ่งของ คุณลักษณะ ด้านความปลอดภัยของ Windows^{(Windows security)}  ที่เรียกว่าGroup Policyซึ่งใช้โดยผู้เชี่ยวชาญด้านไอที^{(IT Professionals)} ส่วนใหญ่ ที่จัดการคอมพิวเตอร์ในเครือข่ายขององค์กรผ่านเซิร์ฟเวอร์ อย่างไรก็ตาม สามารถใช้ในเครื่องพีซีได้โดยไม่ต้องใช้เซิร์ฟเวอร์ ข้อเสียเพียงอย่างเดียวของการใช้Group Policyคือไม่มีในWindows เวอร์ชันที่ต่ำ กว่า สำหรับWindows 7คุณต้องมีWindows 7 Professionalขึ้นไป สำหรับWindows 8 คุณต้อง มีPro หรือEnterprise

คำว่านโยบายกลุ่ม^{(Group Policy)}โดยทั่วไปหมายถึงชุดของการตั้งค่ารีจิสทรีที่สามารถควบคุมผ่านส่วนต่อประสานกราฟิกกับผู้ใช้ ^{(user interface)}คุณเปิดหรือปิดใช้งานการตั้งค่าต่างๆ จากนั้นการแก้ไขเหล่านี้จะได้รับการอัปเดตใน รีจิสทรี ของWindows^{(Windows registry)}

ในWindows XPหากต้องการไปที่ตัวแก้ไขนโยบาย^{(policy editor)}ให้คลิกที่Startแล้วคลิกRun ในกล่องข้อความ ให้พิมพ์ “ gpedit.msc ” โดยไม่ต้องใส่เครื่องหมายคำพูดดังที่แสดงด้านล่าง:

ในWindows 7คุณเพียงแค่คลิกที่ปุ่ม Start และพิมพ์^{(Start button and type)}gpedit.mscลงในช่องค้นหา^{(search box)}ที่ด้านล่างของStart Menu ^{(Start Menu)}ในWindows 8เพียงไปที่หน้าจอ^{(Start Screen)}เริ่มแล้วเริ่มพิมพ์หรือเลื่อนเคอร์เซอร์ของเมาส์^{(mouse cursor)}ไปที่ด้านบนสุดหรือขวาล่างสุดของหน้าจอเพื่อเปิด แถบ Charmsแล้วคลิกค้นหา ^(Search)จาก นั้นเพียงพิมพ์gpedit ตอนนี้คุณควรเห็นสิ่งที่คล้ายกับภาพด้านล่าง:

นโยบายมีสองประเภทหลัก: ผู้^(User)ใช้และคอมพิวเตอร์ ^(Computer)ตามที่คุณอาจเดาได้ นโยบายผู้ใช้จะควบคุมการตั้งค่าสำหรับผู้ใช้แต่ละราย ในขณะที่การตั้งค่าคอมพิวเตอร์จะเป็นการตั้งค่าทั้งระบบ และจะมีผลกับผู้ใช้ทั้งหมด ในกรณีของเรา เราต้องการให้การตั้งค่าของเราเป็นการตั้งค่าสำหรับผู้ใช้ทั้งหมด ดังนั้นเราจะขยายส่วน การ กำหนดค่าคอมพิวเตอร์^{(Computer Configuration)}

ขยายต่อไปในการตั้งค่า Windows^{(Windows Settings)} ->  Security Settings -> Local Policies -> Audit Policyสอบ ฉันจะไม่อธิบายการตั้งค่าอื่นๆ มากนักที่นี่ เนื่องจากสิ่งนี้เน้นที่การตรวจสอบโฟลเดอร์เป็นหลัก ตอนนี้ คุณจะเห็นชุดนโยบายและการตั้งค่าปัจจุบันทางด้านขวามือ ^{(hand side)}นโยบายการตรวจสอบ^{(Audit policy)}คือสิ่งที่ควบคุมว่าระบบปฏิบัติการ^{(operating system)}ได้รับการกำหนดค่าและพร้อมที่จะติดตามการเปลี่ยนแปลงหรือไม่

ตอนนี้ ให้ตรวจสอบการตั้งค่าสำหรับAudit Object Access โดยดับเบิลคลิก และเลือกทั้งSuccessและFailure คลิกตกลง^{(Click OK)}และตอนนี้เราทำส่วนแรกซึ่งบอก Windows ว่าเราต้องการให้พร้อมที่จะตรวจสอบการเปลี่ยนแปลง ขั้นตอนต่อไปคือการบอกว่า^(EXACTLY)เราต้องการติดตามสิ่งใด คุณสามารถปิดคอนโซลนโยบายกลุ่ม^{(Group Policy console)}ได้ทันที

ไปที่โฟลเดอร์โดยใช้Windows Explorerที่คุณต้องการตรวจสอบ ในExplorerให้คลิกขวาที่ โฟลเดอร์ แล้วคลิก^{(folder and click)} Properties คลิกที่แท็บความปลอดภัย^{( Security Tab)}แล้วคุณจะเห็นสิ่งที่คล้ายกันนี้:

ตอนนี้คลิกที่ ปุ่ม ขั้นสูง^(Advanced)และคลิกที่แท็บ การ ตรวจสอบ ^(Auditing)นี่คือที่ที่เราจะกำหนดค่าสิ่งที่เราต้องการตรวจสอบสำหรับโฟลเดอร์นี้

ไปข้างหน้าและคลิกปุ่มเพิ่ม ^(Add)กล่องโต้ตอบจะปรากฏขึ้นเพื่อขอให้คุณเลือกผู้ใช้หรือ^{(User or Group)}กลุ่ม ในกล่อง ให้พิมพ์คำว่า " ^{(word “)}users " แล้วคลิกCheck Names กล่องจะอัปเดตโดยอัตโนมัติด้วยชื่อของกลุ่มผู้ใช้ภายในสำหรับคอมพิวเตอร์ของคุณในรูปแบบCOMPUTERNAME\Users

คลิกตกลง^{(Click OK)}และตอนนี้คุณจะได้รับกล่องโต้ตอบอื่นที่เรียกว่า " รายการตรวจสอบสำหรับ X^{(Audit Entry for X)} " นี่คือเนื้อแท้ของสิ่งที่เราต้องการจะทำ นี่คือที่ที่คุณจะเลือกสิ่งที่คุณต้องการดูสำหรับโฟลเดอร์นี้ คุณสามารถเลือกประเภทของกิจกรรมที่ต้องการติดตามได้ทีละรายการ เช่น การลบหรือสร้างไฟล์/โฟลเดอร์ใหม่ เป็นต้น เพื่อให้ง่ายขึ้น เราขอแนะนำให้คุณเลือก การควบคุม^{(Full Control)}ทั้งหมด ซึ่งจะเลือกตัวเลือกอื่นๆ ด้านล่างโดยอัตโนมัติ ทำสิ่งนี้เพื่อความสำเร็จ^(Success)และความล้ม^(Failure)เหลว ด้วยวิธีนี้ ไม่ว่าจะทำอะไรกับโฟลเดอร์นั้นหรือไฟล์ในนั้น คุณจะมีบันทึก

ตอนนี้คลิกตกลงแล้วคลิกตกลงอีกครั้งและตกลงอีกครั้งเพื่อออกจากชุดกล่องโต้ตอบ^{(dialog box)} หลาย ชุด และตอนนี้คุณได้กำหนดค่าการตรวจสอบในโฟลเดอร์สำเร็จแล้ว! คุณอาจจะถามว่า คุณมองเหตุการณ์อย่างไร?

ในการดูกิจกรรม คุณต้องไปที่แผงควบคุมและคลิก^{(Control Panel and click)}ที่เครื่องมือการดูแล^{(Administrative Tools)}ระบบ จาก นั้นเปิดEvent Viewer คลิกที่ ส่วน ความปลอดภัย^(Security)แล้วคุณจะเห็นรายการกิจกรรมมากมายทางด้านขวามือ^{(hand side)} :

หากคุณดำเนินการต่อและสร้างไฟล์หรือเพียงแค่เปิดโฟลเดอร์แล้วคลิกปุ่มรีเฟรช^{(Refresh button)}ในEvent Viewer (ปุ่มที่มีลูกศรสีเขียวสองอัน) คุณจะเห็นกิจกรรมมากมายในหมวดFile System ^{( File System)}สิ่งเหล่านี้เกี่ยวข้องกับการลบ สร้าง อ่าน เขียนในโฟลเดอร์/ไฟล์ที่คุณกำลังตรวจสอบ ในWindows 7ทุกอย่างจะแสดงขึ้น ในหมวด งาน File System^{(File System task)}ดังนั้นคุณจะต้องคลิกที่แต่ละรายการแล้วเลื่อนดูเพื่อดูว่าเกิดอะไรขึ้น

เพื่อให้ง่ายต่อการดูเหตุการณ์มากมาย คุณสามารถใส่ตัวกรองและดูเฉพาะสิ่งที่สำคัญได้ คลิก^(Click)ที่ เมนู มุมมอง^(View)ที่ด้านบนและคลิกที่ตัวกรอง ^(Filter)หากไม่มีตัวเลือกสำหรับตัวกรอง^(Filter)ให้คลิกขวาที่บันทึกความปลอดภัย^{(Security log)}ในหน้าซ้ายและเลือกกรองบันทึก^{(Filter Current Log)}ปัจจุบัน ในกล่อง ID เหตุการณ์^{(Event ID box)} ให้ พิมพ์หมายเลข4656 นี่คือเหตุการณ์ที่เกี่ยวข้องกับผู้ใช้รายใดรายหนึ่งที่ดำเนินการกับระบบไฟล์ ^{(File System )}และจะให้ข้อมูลที่เกี่ยวข้องแก่คุณโดยไม่ต้องดูรายการนับพันรายการ

หากคุณต้องการรับข้อมูลเพิ่มเติมเกี่ยวกับกิจกรรม เพียงดับเบิลคลิกเพื่อดู

นี่คือข้อมูลจากหน้าจอด้านบน:

มีการร้องขอหมายเลขอ้างอิงไปยังวัตถุ^{(A handle to an object was requested.)}

เรื่อง: ^(Subject:)
Security ID: Aseem-Lenovo\Aseem
ชื่อบัญชี: Aseem ^{( Account Name: Aseem)}
โดเมนบัญชี: Aseem-Lenovo ^{( Account Domain: Aseem-Lenovo)}
รหัสการเข้าสู่ระบบ: 0x175a1^{( Logon ID: 0x175a1)}

วัตถุ: ^(Object:)
เซิร์ฟเวอร์วัตถุ: ความปลอดภัย^{( Object Server: Security)}
ชนิดของวัตถุ: ไฟล์^{( Object Type: File)}
Object Name: C:\Users\Aseem\Desktop\Tufu\New Text Document.txt
หมายเลขจัดการ: 0x16a0^{( Handle ID: 0x16a0)}

ข้อมูล^{(Process Information:)}
กระบวนการ: รหัสกระบวนการ: 0x820 ^{( Process ID: 0x820)}
Process Name: C:\Windows\explorer.exe

ข้อมูลการร้องขอการเข้าถึง: ^{(Access Request Information:)}
รหัสธุรกรรม: {00000000-0000-0000-0000-000000000000} การ ^{( Transaction ID: {00000000-0000-0000-0000-000000000000})}
เข้าถึง: DELETE ^{( Accesses: DELETE)}
SYNCHRONIZE
ReadAttributes

ในตัวอย่างด้านบน ไฟล์ที่ใช้คือNew Text Document.txtในโฟลเดอร์ Tufu^{(Tufu folder)}บนเดสก์ท็อปของฉัน และการเข้าถึงที่ฉันขอคือDELETEตามด้วยSYNCHRONIZE สิ่งที่ฉันทำที่นี่คือลบไฟล์ นี่เป็นอีกตัวอย่างหนึ่ง:

ประเภทวัตถุ: ไฟล์^{( Object Type: File)}
Object Name: C:\Users\Aseem\Desktop\Tufu\Address Labels.docx
Handle ID: 0x178

ข้อมูล^{(Process Information:)}
กระบวนการ: รหัสกระบวนการ: 0x1008 ^{( Process ID: 0x1008)}
Process Name: C:\Program Files (x86)\Microsoft Office\Office14\WINWORD.EXE

ข้อมูลคำขอเข้าถึง: ^{(Access Request Information:)}
รหัสธุรกรรม: {00000000-0000-0000-0000-000000000000} การ ^{( Transaction ID: {00000000-0000-0000-0000-000000000000})}
เข้าถึง: READ_CONTROL ^{( Accesses: READ_CONTROL)}
SYNCHRONIZE
ReadData (หรือ ListDirectory) ^{( ReadData (or ListDirectory))}
WriteData (หรือ AddFile) ^{( WriteData (or AddFile))}
AppendData (หรือ AddSubdirectory หรือ CreatePipeInstance) ^{( AppendData (or AddSubdirectory or CreatePipeInstance))}
ReadEA
WriteEA
ReadAttributes
WriteAttributes

เหตุผลในการเข้าถึง: READ_CONTROL: Granted by Ownership ^{( Access Reasons: READ_CONTROL: Granted by Ownership)}
SYNCHRONIZE: Granted by D:(A;ID;FA;;;S-1-5-21-597862309-2018615179-2090787082-1000)

ในขณะที่คุณอ่านสิ่งนี้ คุณจะเห็นว่าฉันเข้าถึงAddress Labels.docxโดยใช้โปรแกรม WINWORD.EXE^{(WINWORD.EXE program)}และการเข้าถึงของฉันมีREAD_CONTROLและเหตุผลในการเข้าถึงของฉันคือREAD_CONTROL โดยปกติ คุณจะเห็นการเข้าถึงจำนวนมากขึ้น แต่ให้เน้นที่รายการแรก เนื่องจากปกติแล้วจะเป็นประเภทการเข้าถึงหลัก ในกรณีนี้ ฉันเพียงแค่เปิดไฟล์โดยใช้Word . ต้องใช้การทดสอบเล็กน้อยและอ่าน^{(testing and reading)}เหตุการณ์ต่างๆ เพื่อทำความเข้าใจว่าเกิดอะไรขึ้น แต่เมื่อคุณหยุดทำงาน มันจะเป็นระบบที่น่าเชื่อถือมาก ฉันแนะนำให้สร้างโฟลเดอร์ทดสอบ^{(test folder)}พร้อมไฟล์และดำเนินการต่างๆ เพื่อดูว่ามีอะไรแสดงในEvent Viewer^{(Event Viewer)}

แค่นั้นเอง! วิธีที่รวดเร็วและฟรีในการติดตามการเข้าถึงหรือการเปลี่ยนแปลง^{(access or changes)}ในโฟลเดอร์!

How to Track When Someone Accesses a Folder on Your Computer

There’s a nice littlе feature built into Windows that allows yoυ to track whеn someone views, edits, or deletes something insidе of a specified folder. So if there’s a folder or file thаt you want to know who is accessing, then this is the built-in method without having to use third-party software.

This feature is actually part of a Windows security feature called Group Policy, which is used by most IT Professionals who manage computers in the corporate network via servers, however, it can also be used locally on a PC without any servers. The only downside to using Group Policy is that it is not available in lower versions of Windows. For Windows 7, you need to have Windows 7 Professional or higher. For Windows 8, you need Pro or Enterprise.

The term Group Policy basically refers to a set of registry settings that can be controlled via a graphical user interface. You enable or disable various settings and these edits are then updated in the Windows registry.

In Windows XP, to get to the policy editor, click on Start and then Run. In the text box, type “gpedit.msc” without the quotes as shown below:

In Windows 7, you would just click on the Start button and type gpedit.msc into the search box at the bottom of the Start Menu. In Windows 8, simply go to the Start Screen and start typing or move your mouse cursor to the far top or bottom right of the screen to open the Charms bar and click on Search. Then just type in gpedit. Now you should see something that is similar to the image below:

There are two main categories of policies: User and Computer. As you might have guessed, the user policies control the settings for each user whereas the computer settings will be system wide settings and will effect all users. In our case we’re going to want our setting to be for all users, so we’ll expand the Computer Configuration section.

Continue expanding to Windows Settings -> Security Settings -> Local Policies -> Audit Policy. I’m not going to explain much of the other settings here since this is primarily focused on auditing a folder. Now you’ll see a set of policies and their current settings on the right hand side. Audit policy is what controls whether or not the operating system is configured and ready to track changes.

Now check the setting for Audit Object Access by double clicking on it and selecting both Success and Failure. Click OK and now we’re done the first part which is telling Windows that we want it to be ready to monitor changes. Now the next step is to tell it what EXACTLY we want to track. You can close out of the Group Policy console now.

Now navigate to the folder using Windows Explorer that you would like to monitor. In Explorer, right click on the folder and click Properties. Click on the Security Tab and you see something similar to this:

Now click on the Advanced button and click on the Auditing tab. This is where we’ll actually configure what we want to monitor for this folder.

Go ahead and click the Add button. A dialog will appear asking you to select a User or Group. In the box, type in the word “users” and click Check Names. The box will automatically update with the name of the local users group for your computer in the form COMPUTERNAME\Users.

Click OK and now you’ll get another dialog called “Audit Entry for X“. This is the real meat of what we’ve been wanting to do. Here is where you’ll select what you want to watch for this folder. You can individually choose which types of activity you want to track, such as deleting or creating new files/folders, etc. To make things easier, I suggest selecting Full Control, which will automatically select all the other options below it. Do this for Success and Failure. This way, whatever is done to that folder or the files within it, you will have a record.

Now click OK and click OK again and OK one more time to get out of the multiple dialog box set. And now you have successfully configured auditing on a folder! So you might ask, how do you view the events?

In order to view the events, you need to go to the Control Panel and click on Administrative Tools. Then open up the Event Viewer. Click on the Security section and you’ll see a large listing of events on the right hand side:

If you go ahead and create a file or simply open the folder and click the Refresh button in the Event Viewer (the button with the two green arrows), you’ll see a bunch of events in the category of File System. These pertain to any delete, create, read, write operations on the folders/files you are auditing. In Windows 7, everything now shows up under File System task category, so in order to see what happened, you’ll have to click on each one and scroll through it.

In order to make it easier to look through so many events, you can put a filter and just see the important stuff. Click on the View menu at the top and click on Filter. If there is no option for Filter, then right-click on the Security log in the left-hand page and choose Filter Current Log. In the Event ID box, type in the number 4656. This is the event associated with a particular user performing a File System action and will give you the relevant information without having to look through thousands of entries.

If you want to get more information about an event, simply double click on it to view.

This is the information from the screen above:

A handle to an object was requested.

Subject:
Security ID: Aseem-Lenovo\Aseem
Account Name: Aseem
Account Domain: Aseem-Lenovo
Logon ID: 0x175a1

Object:
Object Server: Security
Object Type: File
Object Name: C:\Users\Aseem\Desktop\Tufu\New Text Document.txt
Handle ID: 0x16a0

Process Information:
Process ID: 0x820
Process Name: C:\Windows\explorer.exe

Access Request Information:
Transaction ID: {00000000-0000-0000-0000-000000000000}
Accesses: DELETE
SYNCHRONIZE
ReadAttributes

In the example above, the file worked on was New Text Document.txt in the Tufu folder on my desktop and the accesses that I requested were DELETE followed by SYNCHRONIZE. What I did here was delete the file. Here’s another example:

Object Type: File
Object Name: C:\Users\Aseem\Desktop\Tufu\Address Labels.docx
Handle ID: 0x178

Process Information:
Process ID: 0x1008
Process Name: C:\Program Files (x86)\Microsoft Office\Office14\WINWORD.EXE

Access Request Information:
Transaction ID: {00000000-0000-0000-0000-000000000000}
Accesses: READ_CONTROL
SYNCHRONIZE
ReadData (or ListDirectory)
WriteData (or AddFile)
AppendData (or AddSubdirectory or CreatePipeInstance)
ReadEA
WriteEA
ReadAttributes
WriteAttributes

Access Reasons: READ_CONTROL: Granted by Ownership
SYNCHRONIZE: Granted by D:(A;ID;FA;;;S-1-5-21-597862309-2018615179-2090787082-1000)

As you read through this, you can see I accessed Address Labels.docx using the WINWORD.EXE program and my accesses included READ_CONTROL and my access reasons were also READ_CONTROL. Usually, you’ll see a bunch more accesses, but just focus on the first one as that’s usually the main type of access. In this case, I simply opened the file using Word. It does take a little testing and reading through the events to understand what’s going on, but once you have it down, it’s a very reliable system. I suggest creating a test folder with files and performing various actions to see what shows up in the Event Viewer.

That’s pretty much it! A quick and free way to track access or changes to a folder!

Related posts

• วิธีสร้างโฟลเดอร์ที่ปลอดภัยและถูกล็อคใน Windows XP

• วิธีบันทึกเค้าโครงไอคอนเดสก์ท็อปของคุณใน Windows XP, 7, 8

• วิธีแก้ไขข้อผิดพลาด "NTFS.sys หายไปหรือเสียหาย" ใน Windows XP

• การเข้าถึงคอมพิวเตอร์ Windows XP หรือ Windows Server 2003 จากระยะไกล

• ติดตั้งเครื่องพิมพ์เครือข่ายจาก Windows XP โดยใช้การตั้งค่าไดรเวอร์

• Microsoft Teams จะไม่เปิดบนคอมพิวเตอร์ของคุณ? 9 วิธีแก้ปัญหาที่ควรลอง

• วิธีบล็อกเว็บไซต์บนคอมพิวเตอร์ โทรศัพท์ หรือเครือข่ายของคุณ

• เรียกใช้เกมและโปรแกรม DOS รุ่นเก่าใน Windows XP, Vista, 7/8/10

• วิธีตั้งค่าการอนุญาตไฟล์และโฟลเดอร์ใน Windows

• กำหนดค่าหรือปิด DEP (การป้องกันการดำเนินการข้อมูล) ใน Windows

• วิธีตรวจสอบการตั้งค่าพร็อกซีเซิร์ฟเวอร์บนคอมพิวเตอร์ของคุณ

• แก้ไข Registry Editing ถูกปิดการใช้งานโดยผู้ดูแลระบบของคุณ Error

• แผงควบคุมใน Windows - วิธีเปลี่ยนเป็นมุมมอง Classic Windows XP

• 8 ทางเลือกที่ถูกกว่าสำหรับ Geek Squad เพื่อซ่อมคอมพิวเตอร์ของคุณ

• วิธีใช้ Obsidian เป็น Wiki ส่วนตัวบนคอมพิวเตอร์ของคุณ

• วิธีเพิ่มขนาดย่อเริ่มต้นของ Windows Explorer สำหรับรูปภาพ

• เข้าร่วมคอมพิวเตอร์ Windows XP กับโฮมกรุ๊ป Windows 7/8/10

• แนบไฟล์ VHD ใน Windows XP

• ติดตั้งเครื่องพิมพ์เครือข่ายจาก Windows XP โดยใช้ Add Printer Wizard

• วิธีซ่อนเครือข่าย WiFi อื่นเมื่อเชื่อมต่อกับคอมพิวเตอร์ของคุณ