splunk - Reporting user changing files

Question

I am using fschange to monitor a Windows shared directory and it is working as expected.
I want to monitor which user made the changes. How can I achieve this?

Answer 1

Fschange 不会记录在 Windows 上进行更改的登录。

使用 Windows 原生 SACL 来监控这些文件，并且只监控 Windows 安全日志中的对象审核事件。
在 SACL 条目生效之前，在服务器的安全策略中启用对象访问审核。
然后检查事件 560 到 564 和 567 的安全日志。这些将告诉您文件/文件夹访问、成功/失败、登录等。