Tutoriel 📝 Activer les journaux de contrôle d’accès pour surveiller les fichiers sous Windows 11

[Sylvain*]

Activer les journaux de contrôle d’accès pour surveiller les fichiers sous Windows 11

Introduction

• Ce tutoriel explique comment activer et utiliser les journaux de contrôle d’accès sous Windows 11 pour surveiller les fichiers et dossiers partagés.

• L’objectif est de détecter les accès non autorisés et de renforcer la sécurité des données partagées en activant l’audit des événements.

---

Prérequis

• Un PC sous Windows 11 Pro ou Enterprise (les options avancées d’audit peuvent être limitées sur Windows 11 Home).

• Accès administrateur.

• Connaissance de base des stratégies de sécurité et de l’Observateur d’événements.

---

Méthodologie

• Méthode 1 : Configuration via l’éditeur de stratégies de sécurité locale (secpol.msc).

• Méthode 2 : Utilisation de PowerShell pour activer et gérer l’audit d’accès.

---

Avantages des 2 méthodes

• Méthode 1 : Interface intuitive, adaptée aux utilisateurs classiques.

• Méthode 2 : Automatisation et gestion avancée via des scripts PowerShell.

---

Inconvénients des 2 méthodes

• Méthode 1 : Processus plus long et manuel.

• Méthode 2 : Requiert une maîtrise de PowerShell.

---

Étapes pour chaque méthode

Méthode 1 : Activer l’audit via secpol.msc

Ouvrir Exécuter avec

Win + R

Taper

secpol.msc

et valider avec Entrée.

Aller dans Stratégies locales > Stratégie d’audit.

Double-cliquer sur Audit des objets, cocher Succès et Échec, puis valider.

Appliquer et redémarrer le PC.

Méthode 2 : Activer l’audit via PowerShell

Ouvrir PowerShell en mode administrateur.

Activer l’audit des objets avec :

auditpol /set /category:"Object Access" /success:enable /failure:enable

Définir l’audit sur un dossier spécifique :

icacls "C:\Partage" /audit *S-1-1-0:F

Vérifier les journaux dans l’Observateur d’événements sous Journaux Windows > Sécurité.

---

Astuce

• Filtrer les événements avec l’ID 4663 pour voir les accès aux fichiers surveillés.

---

Mise en garde

• Une configuration excessive de l’audit peut générer un grand volume de logs et ralentir le système.

---

Conseil

• Exporter régulièrement les journaux avec :

wevtutil epl Security C:\Logs\audit.evtx

---

Solution alternative

• Utiliser Microsoft Defender for Endpoint pour un suivi avancé des accès.

---

Références

• Support Microsoft

• Microsoft Learn

• Recherche Google

---

Conclusion

• L’activation des journaux de contrôle sous Windows 11 permet de surveiller l’accès aux fichiers sensibles et de prévenir les fuites de données.