Réduire le bruit d’audit généré par la recherche Windows
Empêchez la recherche Windows de générer un événement de lecture par fichier en indexant les emplacements recherchés, y compris les partages de serveurs de fichiers.
Les recherches Windows exécutées sur des dossiers indexés ne génèrent aucun événement dans FileAudit (sauf lorsque l’index est reconstruit), car la recherche utilise l’index plutôt que les fichiers eux-mêmes.
Les recherches exécutées sur des dossiers non indexés, avec la recherche dans le contenu activée, fonctionnent différemment. Pour récupérer les informations, Windows doit ouvrir chaque fichier afin d’en lire le contenu, et FileAudit enregistre chacune de ces lectures. Une seule recherche peut alors produire un grand nombre de faux positifs dans votre piste d’audit.
Pour éviter cela, nous recommandons d’indexer les dossiers dans lesquels les utilisateurs effectuent des recherches. Vérifiez que l’indexation du contenu est cochée :
Si les dossiers recherchés se trouvent sur un serveur de fichiers, le service Windows Search doit être installé avant de pouvoir indexer les partages. Il n’est pas installé par défaut.
Sur une machine locale, ignorez cette section et passez directement à l’indexation.
Note
Consultez Types d’accès Référence pour comprendre comment FileAudit enregistre une lecture.
Sur un serveur de fichiers, le service Windows Search n’est pas installé par défaut. Installez-le avant d’indexer les partages. Sur une machine locale, ignorez cette section et passez directement à l’indexation.
Dans le Gestionnaire de serveur, cliquez sur Gérer > Ajouter des rôles et fonctionnalités.
Sélectionnez la fonctionnalité Service Windows Search, puis terminez l’assistant.
Après l’installation, assurez-vous que le service Windows Search est démarré. Sur certaines versions de Windows Server, il est défini sur Désactivé par défaut.
Ouvrez Panneau de configuration > Options d’indexation.
Cliquez sur Modifier.
Sélectionnez les lecteurs et dossiers dans lesquels les utilisateurs effectuent des recherches, puis confirmez. Vous pouvez ajouter un dossier unique ou un lecteur entier ; Windows les indexe automatiquement.
Une fois l’indexation terminée, les recherches dans ces emplacements ne génèrent plus d’événements de lecture.
Note
⚠️ Important
Windows Search ne peut pas être utilisé avec DFS. Sur un espace de noms DFS, les recherches sont envoyées au serveur DFS racine au lieu de la cible indexée. L’indexation n’empêche donc pas la génération d’événements de lecture.