Bestanden verdwijnen van homefolder

[Verwijderd]

Wij hebben sinds de migratie van Lotus Notes naar Outlook2007/exchange het probleem dat er random files uit de root van onze homefolder verdwijnen.

We maken gebruik van een fileserver waar alle homefolders opstaan

Er wordt gebruik gemaakt van Powerfuse , mensen hebben een terminal service profile en werken op thin clients

Er draaien geen scripts o.i.d alleen een script via powerfuse die de .tmp files deletes

Wij denken zelf dat outlook iets met het probleem te maken heeft , maar geen oplossing tot op heden kunnen vinden

Ook verdwijnen alleen de LOSSE bestanden in de root. De mappen die in de homefolder staan daar wordt niks uit verwijdert.

maken gebruik van W2003 server

Iemand?

[Outerspace]

Kan je niet iets van logging aanzetten op de server?

[Verwijderd]

als je bedoeld of we het terug kunnen zien in de logs...nee

[alt-92]

Als je geen auditing op object nivo aanzet (al was het maar voor een folder) zie je sowieso niks.
Kijk eens of je dat kan inschakelen?

[Jazzy]

Auditing aanzetten, dan weet je meer.

[Verwijderd]

net even de security audits doorgelopen maar ik weet niet precies naar wat ik moet zoeken. Ik zie niks in de zin van dat er bestanden verwijderd worden o.i.d

[Jazzy]

Omdat je dat eerst in moet schakelen, je denkt toch niet dan standaard iedere bewerking op ieder bestand gelogd wordt?

http://www.google.nl/sear...l&q=object+auditing&meta=

[Verwijderd]

Nu we toch bezig zijn met auditing vragen ....
Wij hebben op alle servers wel object auditing aanstaan, maar het is echt een rot werk om te achterhalen wie welk bestand heeft weggehaald. Stel iemand heeft bestandje x01.exe weggegooid, dan kan je filteren in de event viewer op allerlei variabelen zoals category, event id, user, computer, echter wat ik dan mis is de object name.

De user weet ik niet, de computer ook niet, wat ik wel weet ie dat bestand x01.exe foetsie is, maar dan kan ik dus niet filteren. Misschien doe ik iets fout ofzo?? Of heb je daar een 3rd party tool voor nodig ?

Uiteindelijk kan ik het het event id wel vinden door de hele security log door te spitten, echter heel erg tijdsefficient is dat niet.

[ajhaverkamp]

"Export list" optie, opslaan als text, openen met Notepad, Crtl-F, naam intypen......

[Verwijderd]

je kunt toch kijken op tijd?log in met een user en log uit met een user
kijk of er iets weg is...
Maar als er bestanden verdwijnen uit een homefolder...is er dan nog geen user geweest die heeft lopen klagen bij de helpdesk dat hij iets mist?

[Verwijderd]

ajhaverkamp schreef op woensdag 23 april 2008 @ 16:46:
"Export list" optie, opslaan als text, openen met Notepad, Crtl-F, naam intypen......

Ook met de export functie kan je niet zoeken op object name. Die staat er niet bij voor zover ik nu kan simuleren. . Dus, even een mp3 gewist, komt netjes in de security log. Echter rnormaal gesproken weet ik dus het tijdstip/user/computer/etc niet. Ik weet alleen dat "wakeup.mp3" is gewist ergens in de afgelopen 3 dagen.

Wat ik dus wil, is puur queryen wanneer "wakeup.mp3" is gewist, en door wie zonder dat ik alles moet doorspitten.

Event Type: Success Audit
Event Source: Security
Event Category: Object Access
Event ID: 560
Date: 4/23/2008
Time: 5:21:05 PM
User: NT AUTHORITY\SYSTEM
Computer: NL17665
Description:
Object Open:
Object Server: Security
Object Type: File
Object Name: C:\Documents and Settings\xxxx\My Documents\My Music\wakeup.mp3

[ajhaverkamp]

Sorry, had het verder niet uitgebreid getest. Kun je hier (Elogdmp.exe) wat mee? Tenzij die ook weer geen "Object name" ondersteund.
Hoe kan de system account jouw MP3 gwist hebben? Via de Scheduler een wis-taak draaien?

Voor mijn gevoel lopen er nu wel 2 topics door elkaar heen......

[ Voor 8% gewijzigd door ajhaverkamp op 23-04-2008 17:48 ]

[Verwijderd]

ajhaverkamp schreef op woensdag 23 april 2008 @ 17:47:
Sorry, had het verder niet uitgebreid getest. Kun je hier (Elogdmp.exe) wat mee? Tenzij die ook weer geen "Object name" ondersteund.
Hoe kan de system account jouw MP3 gwist hebben? Via de Scheduler een wis-taak draaien?

Voor mijn gevoel lopen er nu wel 2 topics door elkaar heen......

Het was slechts een voorbeeldje.
Tja, inderdaad 2 topics door elkaar.... Sorry voor de verwarring.

[Verwijderd]

inmiddels het probleem achterhaald met auditing..thnx voor de hulp

[Gé Brander]

En ter lering en vermaak voor je Tweaker "collega's", wat was de oorzaak en oplossing?

[lier]

Verwijderd schreef op donderdag 24 april 2008 @ 08:56:
inmiddels het probleem achterhaald met auditing..thnx voor de hulp

Fijn dat wij ook weten wat nu de oorzaak van het probleem is...
Oftewel, zou je ook nog kunnen vertellen wat het probleem was ?