Auditoria de arquivos no Windows Server: guia para empresas

Servidor de arquivos sem trilha é caixa-preta

PMEs concentram ERP, contabilidade, RH e contratos em Windows Server com pastas compartilhadas SMB. Quando alguém exclui diretório, altera planilha sensível ou copia massa de dados na véspera de sair da empresa, a pergunta “quem fez?” exige auditoria de objetos — não só backup. LGPD e auditorias internas pedem evidência de acesso e modificação.

O que registrar

• Criação, alteração, exclusão de arquivos e pastas.
• Alteração de permissões — escalonamento indevido.
• Acesso negado — tentativas suspeitas (opcional, gera volume).

Foco em shares críticos (\\servidor\Financeiro, RH, Diretoria) — auditar todo volume C: gera logs ingovernáveis.

Configuração em alto nível

1. GPO ou Local Security Policy — ative “Audit object access” (Success e Failure conforme necessidade).
2. SACL na pasta — Propriedades → Segurança → Avançado → Auditoria → adicione grupo (ex.: Todos ou Usuários autenticados) com ações desejadas.
3. Event Viewer — Security log, Event IDs 4663 (acesso), 4656 (handle), 4660 (exclusão), 4657 (alteração registry em alguns casos).
4. Coleta centralizada — encaminhe logs para SIEM ou syslog antes que rotação apague histórico (tamanho padrão do log enche rápido).

Boas práticas operacionais

• Retenção mínima alinhada à política de compliance (90–365 dias).
• Alertas para exclusão em massa ou acesso fora do horário comercial.
• Permissões por função — usuário comum sem write em pasta que só deveria ler.
• Backup imutável separado — auditoria detecta; backup recupera.
• Revisão trimestral de quem tem acesso a quê (access review).

Limites e complementos

Auditoria nativa não substitui DLP nem gravação de sessão RDP em admins — combine camadas. Volume alto exige filtro inteligente para não degradar disco. A ITC Service implementa política de servidor de arquivos, GPO e monitoramento para PMEs no RS. Gestão de suporte TI · Segurança e backup · Backup contra ransomware · Projeto Windows Server.