Кто удалил файл?

Question

[Андрей Васоц]

Приветствую. Собсна вопрос простой. Есть сервер [Server 2003], локальная сеть и пользователей штук 100.
У всех 100 пользователей есть доступ к серваку. Переодически пропадают файлы или папки, вероятно кто-то удаляет (нарочно или нет)
Есть ли подобные софты для отслеживания удаленных файлов? (кем, когда, какой). Посоветуйте

Comments

[Владимир]

а зачем 100 пользователей доавать доступ на удаление ?

[12rbah]

Андрей Васоц , ОС укажите.

[Андрей Васоц]

12rbah, Server 2003

[12rbah]

Андрей Васоц, https://www.lepide.com/how-to/track-file-deletions...

Answer 1

[АртемЪ]

Есть ли подобные софты для отслеживания удаленных файлов? (кем, когда, какой). Посоветуйте

А что можно сказать не зная ОС?
В windows можно настроить аудит файлов.

Опять же цели непонятно - вам выследить злоумышленника, или вернуть нужный файл на место?
Чаще всего перемещают - нашли и на место.
Иногда удаляют - для таких целей удобнее теневые копии использовать.

Comments

[Андрей Васоц]

Server 2003. И выследить, и вернуть

[АртемЪ]

Андрей Васоц,
Вернуть для этого теневые копии идеальный вариант.
Выследить - нужен аудит.
Уменьшить вероятность такого - права.

Обычно в больших шарах пользователь случайно захватит папку мышкой и утащит в соседнюю папку.
Даже не заметив этого. А все потом ищут. Тонкая настройка прав полностью проблему не решает, но сильно уменьшает вероятность такого.

И да - 2003сервер.
Я конечно сторонник - работает, не трожь. Но если уж надо настраивать и навешивать доп. фунционал, то неплохо бы обновить до вменяемых.
Я уж и не помню что-там и как.

Answer 2

[pfg21]

есть софтины и системы для бекапа данных.
все остальное от лукавого.

Comments

[АртемЪ]

Ну бэкап для таких целей дергать это из пушки по воробьям.
Бэкап это на случай если все пропало, и надо восстановить.

А тут как я понял рутина, тут теневые копии вполне неплохо выручают.
Удалили случайно? - Зашли в теневую копию на нужную дату и время, и выдернули оттуда.

[pfg21]

АртемЪ, бекап это технология создания запасных копий системы :)
создание запасных копий через теневые копии это один из вариантов реализации бекапа.

[Saboteur]

pfg21, Как бэкап подскажет кто удалил файл?

[АртемЪ]

pfg21, Я немного не о том. Бэкап это система резервных копий. И есть определенный регламент хранения и доступа к резервным копиям. С ним работает как правило либо системный администратор, либо оператор бэкапа.
В общем выдергивать какую-то мелочь из бэкапа рядовому пользователю это не совсем удобно и правильно.

А система тенеых копий это система создания снимков ФС на конкретный момент времени. Ее удобно использовать и для создания бэкапа.
Но в случае с файловой шарой ее удобно использовать как хранилище версий файлов по времени.
Да и корзину она неплохо заменяет, ибо корзина по сети не работает.
Это не бэкап - теневые копии пропадают при любых проблемах с диском, и при исчерпании резерва, но они удобны именно в использовании.
Пользователь может зайти и выдернуть сам нужный файл из копии созданной вчера, или в прошлую среду.

Девочки из бухгалтерии случайно затерли важный отчет - они тут же выдергивают утреннюю копию этого отчета из теневой копи. Случайно удалили важный файл - то же самое.

А бэкап это когда все пропало, зовут админа, и он восстанавливает систему, бд или вообще все из бэкапа.
Другой уровень. Никак не связанный с задачей.
В общем он обязательно должен быть, но он не удобен для решения данной задачи.

[pfg21]

АртемЪ, все регламенты ты придумываешь сам - ну а как уж замудрил систему, так тебе и -тся :)
знаю что такое теневые копии на нтфс :) костыль-прокладка в системе, имитирующая действия снапшотов на фс с CoW :)
на бтрфс в качестве изучения системы строил систему cовмещающую все твои доводы. там все просто и логично.
каждые полчаса делался снапшот системы.
каждую ночь делался дифференциальный к месячному бекап файлом на отдельную машину.
каждый месяц полный бекап файлом на отдельную машину.
снапшоты старее двух дней еженочно удалялись.
еще была мысль сделать ежечасный/получасный инкрементальный бекап файлом на отдельную машину, чтобы точно ничего не терять при порче носителя, но забил.
получвилось достаточно быстро эффективно и устойчиво к воздействиям.

бекап это создание копий для восстановления, на случай порчи файла.

даже если ты вручную делешь копии, это уже простейший бекап :)

все замудрения с иерархией взаимоотношений и бюрократией по восстановлению к бекапу имеет нулевое отношение ибо это не технические детали.
дай доступ в р/о к архиву пароленных бекапов и многие проблемы уйдут.

[pfg21]

Saboteur, кстати да, для монитроинга изменений файлов настроить мониторинг потока изменений файловой системы.
приходилось пользоваться утилитой от Руссиновича Process Monitor. все кажет все пишет, но только гуй.

[АртемЪ]

бекап это создание копий для восстановления, на случай порчи файла.

Именно так.
Но я сказал о том что в данном случае бэкап не удобен.
Гораздо удобнее теневая копия, а теневая копия бэкапом не является, по той простой причине, что никакой копии файла не создается.

Использовать бэкап в этих целях тоже можно - но сложно, дорого и неудобно - попробуйте организовать бэкап террабайтной шары за месяц, в 7 утра и в 14дня.
Сколько места он будет занимать, и насколько удобно будет простому пользователю доставать оттуда файлы?
Можно конечно заморочится, и развернуть бэкап на диске с дедупликацией, и дать туда доступ по сети пользователям, но зачем такие сложности, если есть решение проще?

знаю я что такое теневые копии на нтфс :) костыль-прокладка в системе, имитирующая дейтсвия снапшотов на фс с CoW

В чем костыль?
Работают быстро и эффективно. Назовите ФС где снапшоты лучше реализованы чем в ntfs?.
Теневые копии базируются на принципе CoW.

[pfg21]

АртемЪ, zfs, btrfs - снапшот на уровне блоков файловой системы, CoW встроен в саму архитектуру файловой системы.
а не отдельной прослойкой на уровне драйверов операционной системы.

в теневой копии создается копия индекса занятых блоков фс и отметка что эти блоки защищены от записи. при попытке записи в занятый блок, с фс затребуется новый блок, в него скопируется информация со старого и в индекс фс (не снапшота) запишется указатель на этот блок, после чего с блоком можно делать что угодно.
старые данные сохранятся в старых блоках указатели на которые будут прописаны в индексах файла в снапшоте. все ок.

опять "сложно, дорого и неудобно" это потому что ты так придумал/недодумал :)
для больших объемов как раз и придуманы инкрементально-дифференциальные системы бекапа.
в твоем терабайте наврядли меняется весь терабайт документов сразу, весь и каждый день.
десятки-сотни активно редактируемых документов составляют проценты от этого объема, который недвижимым грузом лежит все время.
вот только эти изменяющиеся и бекапят в инкрементальный бекап. он получается маленьким и быстро создаваемым.
а уж весь террабайт можно и раз в месяц пожать. долгая операция, но редкая.
при полном восстановлении тож проблемм нет - развернул полный бекап, а потом на него сверху наложил дифференциальный, либо последовательно весь набор инкрементов. и ок.
но обычно и этого не требуется, тут уж зависит от потребностей. обычно хватает доступа к старым версиям.

если у тебя в данном терраюайте куча похожих документов то зачем дубли хранить ??

[pfg21]

мне кажется проблема в том что ты бекап понимаешь как то монструзоно :) это что такое большое с админами, операторами и т .д. от того мощное и тяжелое и неповоротливое.
но это не так (по моему мнению)
файловый бекап можно и своими силами сделать. даже без рута и прочих прав.
скрипт сжатия раром/7зипом (с инкрементами по вкусу) и отправка в облако. скрипт в планировщик заданий. и ок.
и таких статеек в тырнете навалом.
кстати в нтфс есть отличная штукенция - бит архивности. и рар отлично с ним работает. так что инкременты делаются однострочником.

[АртемЪ]

pfg21, Ты можешь предложить систему бэкапа для файловой шары из которой обычный пользователь сможет достать файл который он случайно удалил менее чем за минуту?

файловый бекап можно и своими силами сделать. даже без рута и прочих прав.

Зачем мне объяснять как сделать бэкап? Это одна из моих специализаций.
Как делать бэкапы я хорошо знаю.

Но речь то идет про то как пользователям файлы удаленные с шары восстанавливать.
И я пытаюсь вам объяснить что бэкап для такой задачи крайне неудобен.
Как пользователи будут работать с бэкапом? Специальную файловую шару для доступа к бэкапам организовывать? Ладно если он не сжат - а то еще и распаковывать придется.
А если речь идет про инкрементный бэкап то он вообще не применим.

[АртемЪ]

Один щелчок мышкой на папке- тыкаем теневые копии- выбираем нужную дату - копируем нужный файл.
Все.
Какая система архивации так позволяет???

Пользователю то пофиг какие у вас там бэкапы дифференциальные или инкрементные ему то откуда знать - ему файл нужно достать.
Или вы предлагаете чтобы пользователи сами бэкапы создавали и разбирались в этом?

Бэкап он для администратора - если что-то случилось админ придет и восстановит.
Он не для пользователя.
А я говорю про удобную систему для пользователя.

И самое главное - бэкап он редко делается чаще чем раз в сутки. Потому что требует много ресурсов и занимает много времени.
А теневая копия делается сколько надо - два-три раза в день не проблема. Делается она мгновенно.

[pfg21]

АртемЪ, ты путаешь систему бекапа и интерфейс программы.
у многих крупных коммерческие бекаперов такое есть. к примеру вот погуглил чутка - бекапер с граф.интерфейсом с восстановлением файлов с выборкой версий из бекапа. https://help.2brightsparks.com/support/solutions/a...
клиент восстановления обращается по собственному протоколу к серверу хранения бекапов и делает выборку версий файлов леэащих в хранилище, отображает спиосок пользователю и потом производит запрос необходимой версии файла для восстанолвения на клиентской машине.
все возможно - было бы желание сделать :)

опять же ограниченность ваших используемых средств ограничивает горизонт познания.
все возможно. инкрементальный бекап не тяжел, ибо в инкремент уходит небольшой объем только лишь изменнного, и поэтому его можно делать весьма часто.
но вам этого судя по всему не понять.
пардон что занял ваше время.

Answer 3

[CityCat4]

Сто тыщ мильенов разных систем, начиная от банального аудита в винде, до навороченных СМП. Но если там все сто - администраторы (а скорее всего так оно и есть) - это будет бесполезно

Answer 4

[Akina]

Теоретически - аудит, как уже сказано ранее. Практически - это надо сидеть и постоянно чистить логи аудита, иначе никаких дисков не хватит.

Из практики - в 90% случаев файл или каталог не удалён. Просто какое-то нерадивое чмо неловким движением мыша переместило его в какой-то каталог. Обычно - даже не заметив этого (оно само, случайно, зацепилось). Опять же из практики - подобное пропадание на Window Server - минимум 2-3 раза в месяц, а на столь же интенсивно использовавшемся Novell Netware, где подобное перемещение было запрещено соотв. атрибутом файловой системы - 2 или 3 раза за более чем 10 лет.

Настоятельно рекомендую посмотреть в сторону программного обеспечения, которое носит общее название "Сетевая корзина". Суть проста - удалённый по сети файл помещается в корзину так же, как если он удалён в локальном сеансе от имени локальной учётной записи. И восстановить просто, и видно, кто и когда удалил. А если файла в корзине нет - это те самые 90%, см. выше.

Answer 5

[dude2012]

Если еще не поздно: самый простой вариант - 10-Strike connnection monitor pro
Настраиваете аудит, прога показывает, кто открывал/качал/смотрел, кто и когда удалял, можно временно отключать пользователей от расшаренных папок