如何知道用户在 Windows 环境中使用 powershell 修改了文件？

Question

我想听听您的建议，看看是否有办法告诉谁使用 Powershell 命令或批处理命令访问/修改/删除了 windows 上的特定文件，而无需在 windows 主机上打开文件级日志记录？以下 Powershell 命令不一定会给我修改文件的用户名。

Get-ChildItem 'C:\Test Folder' | Where {$_.LastWriteTime} | select -last 1

Answer 1

默认情况下不启用 Windows 文件审核。如果文件当前未报告审计信息，您将无法获取此信息。如果您选择打开它，将来的审核事件信息将记录到 Windows 日志中。它不存储在文件元数据中。 （注意：打开文件审核可能会导致无意中拒绝服务，因为可能会生成大量数据。） 可以通过打开文件资源管理器并导航到您要审核的文件夹/文件来启用审核。

• 右键单击文件
• 选择安全选项卡
• 点击高级按钮
• 点击审核选项卡（提升权限）
• 点击添加
• 选择一个原则（可以是用户或域用户），选择您希望审核的权限（可能是写入）
• 点击确定

完成此操作后，审核条目应显示在 Windows 安全日志中。