Rapports

FileAudit construit les rapports à partir de deux sources de données distinctes. Savoir quelle source un rapport utilise vous indique ce qui doit être configuré pour que ce rapport retourne des données.

Les rapports basés sur les événements lisent les événements de sécurité Windows produits par l’audit des accès aux objets. Ils reflètent l’activité telle qu’elle s’est produite : qui a accédé à quoi, quand et comment.

Rapports basés sur l’analyse des événements :

• Rapports d’accès et rapports d’accès refusés

• Statistiques

• Changements de permissions et changements de propriété

• Rapports d’alertes

Ces rapports retournent des données uniquement si l’audit des accès aux objets Windows est correctement configuré sur les chemins surveillés. Consultez Audit Windows pour savoir comment configurer l’audit.

Les rapports basés sur les Snapshots lisent les données capturées lorsqu’un Snapshot est généré. Un Snapshot enregistre l’état de vos chemins à un instant donné, et non un flux d’événements.

Un snapshot capture :

• les permissions NTFS,

• la propriété,

• les attributs des fichiers et dossiers,

• les informations de taille des fichiers et dossiers.

Rapports basés sur les Snapshots :

• Propriétés des fichiers et dossiers

• Permissions simples

• Permissions avancées

Ces rapports ne dépendent pas des événements de sécurité Windows. S’il n’existe aucun Snapshot, ils ne retournent rien. Consultez Gérer les Snapshots de permissions et de propriétés pour les générer.

Les rapports d’accès affichent les événements d’accès aux fichiers et dossiers, en fonction des types d’accès. Chaque rapport est une vue prédéfinie : mêmes données d’événements, mais filtre différent appliqué.

Les rapports d’accès refusés utilisent les mêmes données d’événements, limitées aux tentatives d’accès refusées.

Les rapports de permissions couvrent à la fois l’état actuel des permissions et les changements qui y ont été apportés.

• Permissions simples et Permissions avancées affichent les permissions NTFS des chemins surveillés, en mode simple ou avancé. Les deux nécessitent un Snapshot. Dans ces rapports, seule la racine de chaque chemin configuré est affichée intégralement : un fichier ou dossier enfant apparaît uniquement lorsque ses permissions diffèrent de celles de son parent. Si un élément est absent du rapport, ses permissions sont identiques à celles de son parent.

  

• Changements de permissions liste chaque modification apportée aux permissions NTFS : l’utilisateur qui a effectué le changement, la date et l’heure, le chemin, ainsi que l’utilisateur ou le groupe concerné, appelé Principal. Chaque ligne peut être développée afin de comparer les anciennes et les nouvelles permissions, en mode simple ou avancé.

  

• Changements de propriété liste les tentatives enregistrées de prise de possession d’un fichier ou d’un dossier : qui, quand et sur quel chemin.

  

Statistiques fournit une vue agrégée de l’activité d’accès sur une période sélectionnée : tendances d’activité, utilisateurs les plus actifs, fichiers les plus consultés, sources les plus actives et indicateurs de volume élevé utiles pour ajuster le périmètre d’audit et les exclusions. Ce rapport ne peut pas être filtré, imprimé ni planifié.

Propriétés des fichiers et dossiers affiche les métadonnées capturées dans un Snapshot : dates de création, de modification et de dernier accès, taille totale, taille compressée, taille du dossier racine et attributs — Lecture seule, Caché, Compressé, Chiffré, Archivé. Nécessite un Snapshot.

Le rapport Historique des alertes affiche les événements qui ont déclenché vos règles d’alerte configurées, couvrant à la fois les alertes d’accès unitaire et d’accès en masse.

Pour créer et ajuster les règles à l’origine de ces alertes, consultez le guide Gérer les alertes.

Un rapport affiche uniquement les données que vous lui indiquez. Avant de consulter ou d’exporter un rapport, vous définissez sa plage temporelle, sa source de données et les filtres qui limitent les résultats.

Les contrôles disponibles dépendent du type de rapport :

• les rapports basés sur les événements utilisent une période,

• les rapports basés sur les Snapshots utilisent un Snapshot.

Les rapports d’accès et les autres rapports basés sur les événements s’ouvrent avec un sélecteur Période en haut de la vue. Il définit la plage temporelle couverte par le rapport et s’applique avant la génération du rapport.

Le sélecteur propose des périodes prédéfinies et une option Plage personnalisée. La plage personnalisée ouvre les champs De et À, chacun pouvant s’appuyer sur une date et une heure fixes ou sur une limite relative, telle que Événement depuis, le premier événement enregistré, et Dernier événement, le plus récent.

Les rapports basés sur les Snapshots — Permissions simples, Permissions avancées, Propriétés des fichiers et dossiers — n’utilisent pas de période. Ils s’ouvrent avec un sélecteur de Snapshot, car ils lisent l’état capturé à un instant donné plutôt qu’un flux d’événements.

Sélectionnez un Snapshot dans la liste pour l’afficher. S’il n’en existe aucun, le sélecteur affiche Aucun Snapshot disponible et le rapport ne retourne rien tant qu’un Snapshot n’a pas été généré. Consultez Gérer les Snapshots de permissions et de propriétés Guide pour les créer.

La plupart des rapports peuvent être affinés avec des filtres. Cliquez sur le bouton Filtres pour ouvrir le panneau ; une fois les filtres définis, le bouton indique combien sont actifs, par exemple 1 filtre appliqué. Le panneau regroupe les conditions sous Quoi, Qui et Source, ainsi qu’un périmètre de Chemin et un sélecteur de Serveur.

Les filtres disponibles varient selon le type de rapport : les rapports d’accès, de permissions et de synthèse exposent chacun un sous-ensemble différent.

• Pour connaître la signification de chaque champ et les valeurs acceptées, consultez Filtres Référence.

• Pour cibler ou exclure plusieurs utilisateurs ou groupes dans un même champ, consultez Filtres → Inclure ou exclure des utilisateurs Référence.

Le panneau Filtres inclut également un sélecteur Base de données. Par défaut, un rapport lit la base de données de production, mais le sélecteur liste toutes les bases de données archivées qui ont été enregistrées, ce qui vous permet d’exécuter le même rapport sur des données archivées.

L’archivage permet de conserver une base de données de production légère tout en préservant les événements plus anciens à des fins de rétention ou de conformité.

Pour créer une archive et l’enregistrer afin de pouvoir l’interroger, consultez Archiver la base de données Guide.

Cliquez sur un utilisateur ou un chemin dans un rapport pour ouvrir une vue détaillée de cet objet, couvrant les quatre dernières semaines :

• un graphique d’évolution des accès, regroupés par jour ou par semaine,

• une grille de tous les accès,

• le nombre total de suppressions et d’accès refusés,

• et le top 5 des fichiers consultés, pour un utilisateur, ou le top 5 des utilisateurs, pour un fichier ou un dossier.

La grille conserve les mêmes options de filtre, d’impression et d’export que les vues principales.

Un rapport planifié s’exécute automatiquement de manière récurrente et est envoyé par e-mail au format PDF aux destinataires choisis ou enregistré dans un emplacement de fichier. Tous les filtres appliqués au rapport sont conservés lorsqu’il est planifié.

Vous pouvez planifier un rapport de deux façons :

• Depuis la vignette Rapports planifiés du hub FileAudit.

• Depuis n’importe quel rapport intégré : ouvrez le menu Options … et sélectionnez Planifier ce rapport. Vous accédez à la configuration de planification avec vos filtres actuels conservés.

L’envoi d’un rapport planifié par e-mail nécessite des paramètres de messagerie configurés. Pour la procédure complète, consultez le guide Planifier des rapports.

Depuis le menu Options du rapport (bouton …), ou depuis l’aperçu avant impression, sélectionnez Exporter les données pour enregistrer la vue au format PDF, XLS, TXT, CSV, HTML, MHT ou RTF. Faites Ctrl+clic sur un format pour ouvrir ses options d’export détaillées.

L’export Données brutes produit un fichier CSV contenant les données non formatées.

Sélectionnez Imprimer pour ouvrir un aperçu indiquant le nombre de pages ; vous pouvez également exporter directement depuis l’aperçu.

Dans la vue Tous les rapports, sélectionnez l’icône en forme d’étoile sur une vignette de rapport pour l’épingler au tableau de bord. Les favoris conservent leur configuration enregistrée, et il n’y a aucune limite au nombre de rapports que vous pouvez épingler.