Comment suivre les modifications d’accès aux fichiers de vos clients sans SIEM

Les fonctionnalités intégrées de Microsoft et des outils RMM légers permettent de suivre les modifications d’accès aux fichiers, tout en limitant les coûts et la complexité. C’est particulièrement utile pour les petites et moyennes entreprises (PME) qui ne s’appuient pas sur des solutions SIEM (Security Information and Event Management) de niveau grandes entreprises.

Cet article vous sera utile si vous souhaitez suivre efficacement les modifications d’accès aux fichiers avec un minimum de charge de travail. Poursuivez votre lecture pour découvrir comment utiliser les outils natifs et les plateformes modernes de gestion des terminaux afin de surveiller les usages autorisés.

Utiliser les fonctionnalités de Microsoft Windows pour suivre les modifications d’accès

Les PC Windows disposent d’outils capables de suivre les autorisations, d’exporter des journaux et d’exécuter des scripts. Tenez compte des limites techniques de votre entreprise avant de suivre les étapes ci-dessous.

📌 Prérequis :

• Privilèges d’administrateur
• Accès aux serveurs de fichiers (Windows Server) et au tenant Microsoft 365
• Bonne connaissance de la configuration des stratégies de groupe ou de la stratégie de sécurité locale
• Système de stockage ou de documentation (NinjaOne Docs, IT Glue, SharePoint) pour l’export et la revue des journaux

🎥 Ce guide visuel montre précisément comment suivre les modifications d’accès aux fichiers de vos clients sans SIEM.

Étape 1 : activer l’audit des modifications d’accès aux fichiers dans Windows

Pour commencer à suivre les accès aux fichiers et les modifications d’autorisations, activez la configuration avancée de la stratégie d’audit dans l’Éditeur de stratégie de groupe. Windows enregistre alors les tentatives d’accès et les modifications d’autorisations dans votre journal de sécurité (eventvwr). Voici comment procéder :

📌 Cas d’utilisation : à utiliser pour le suivi des autorisations d’accès aux fichiers.

📌 Prérequis : Windows 10/11 Pro, Enterprise ou Education

1. Appuyez sur Win + R, saisissez gpedit.msc, puis appuyez sur Ctrl + Maj + Entrée.
2. Rendez-vous dans :

Configuration ordinateur > Stratégies > Paramètres Windows > Paramètres de sécurité > Configuration avancée de la stratégie d’audit > Accès aux objets

3. Activez Auditer le système de fichiers pour les événements de réussite et d’échec.
   1. Le journal de sécurité enregistrera les éléments suivants :
      1. Event ID 4670 : modifications d’autorisations
4. Cliquez sur Appliquer, puis sur OK.

Vous pouvez consulter la documentation officielle de Microsoft sur les stratégies d’audit ici.

💡 Astuce : n’oubliez pas la SACL

Activer la stratégie d’audit ne représente que la moitié du travail. Vous devez indiquer à Windows quels dossiers surveiller.

1. Faites un clic droit sur le dossier sensible et sélectionnez Propriétés.
2. Allez dans Sécurité > Avancé > Audit.
3. Cliquez sur Ajouter, sélectionnez un principal (par exemple « Tout le monde ») et choisissez les autorisations que vous souhaitez suivre (par exemple Supprimer, Écrire, Modifier les autorisations).

⚠️ Avertissement : augmentez la taille de votre journal

L’audit des fichiers génère beaucoup de « bruit ». La taille par défaut du journal de sécurité est souvent trop faible et il s’écrase de lui-même en quelques heures.

• Ouvrez l’observateur d’événements, faites un clic droit sur le journal de sécurité et sélectionnez Propriétés.
• Augmentez la « Taille maximale du journal » à au moins 102 400 Ko (100 Mo), voire davantage selon le trafic de votre serveur, afin de ne pas perdre de données avant l’exécution de vos scripts.

Étape 2 : exporter les événements clés avec PowerShell

Utilisez des scripts puissants pour vérifier automatiquement la présence des Event IDs pertinents dans vos journaux de sécurité.

📌 Cas d’utilisation : à utiliser pour collecter rapidement des données et créer des rapports lisibles.

1. Appuyez sur Win + R, saisissez PowerShell, puis appuyez sur Ctrl + Maj + Entrée.
2. Exécutez la commande suivante :

Get-WinEvent -FilterHashtable @{

LogName = 'Security';

Id = 4670;

StartTime = (Get-Date).AddDays(-7)

} | Export-Csv "C:\AuditLogs\PermissionChanges.csv" -NoTypeInformation

Remplacez <FileName> par le nom de votre fichier CSV exporté.

Vous pouvez également utiliser le Planificateur de tâches pour exécuter des requêtes PowerShell hebdomadaires et automatiser les vérifications d’accès aux fichiers.

Étape 3 : surveiller les accès aux fichiers dans Microsoft 365

Dans les environnements largement basés sur Microsoft, optimisez le suivi des accès avec des outils comme Microsoft Purview. Ses journaux d’audit offrent une visibilité sur les accès aux fichiers et les modifications d’autorisations dans SharePoint, OneDrive et Teams, ce qui permet aux professionnels de l’informatique de réduire les risques et de rester conformes.

📌 Cas d’utilisation : idéal pour les entreprises qui gèrent des données sensibles dans Microsoft 365.

Avec Microsoft Purview

1. Rendez-vous sur le portail de conformité Microsoft Purview.
2. Rendez-vous dans :

Audit > Démarrer l’enregistrement de l’activité des utilisateurs et des administrateurs

3. Utilisez la recherche d’audit pour filtrer les activités utilisateur pertinentes (par exemple FileAccessed).
4. Exportez les résultats au format CSV pour le reporting ou l’analyse.
5. Définissez des politiques d’alerte pour les actions sensibles (par exemple le partage externe ou les modifications d’autorisations).

Sans Microsoft Purview

Même sans licence Microsoft 365 incluant Purview, les utilisateurs avancés peuvent surveiller l’activité de partage de fichiers via le journal d’audit unifié (disponible dans Microsoft 365 E3 et certains plans Business). Accédez-y depuis le Centre de sécurité et de conformité pour vérifier facilement qui a consulté quels fichiers et quels documents ont été partagés récemment.

Étape 4 : mettre en place un processus de revue léger

Conserver une trace de toutes les modifications d’autorisations est essentiel pour garantir la responsabilité, apporter du contexte et assurer une productivité sans interruption. Suivez les modifications d’accès aux fichiers à l’aide d’un tableau de suivi comportant les rubriques suivantes :

• Date : date à laquelle la modification d’accès au fichier a eu lieu
• Utilisateur : collaborateurs concernés par la modification
• Fichier/Dossier : fichier ou dossier précis dont les droits d’accès ont été modifiés
• Action : modification apportée aux paramètres d’accès du fichier
• Remarques : informations pertinentes sur les modifications d’accès, examinées chaque trimestre par un membre de l’équipe désigné

Étape 5 : intégrer des alertes sans SIEM pour suivre les modifications d’accès aux fichiers

Les alertes en temps réel sont indispensables pour agir rapidement, qu’il s’agisse d’autorisations manquantes ou de votre réponse aux incidents informatiques. Voici comment suivre facilement les accès aux fichiers et les modifications d’autorisations grâce à des scripts qui vous avertissent dès qu’une action est détectée.

📌 Cas d’utilisation : suivez les modifications d’accès aux fichiers grâce à des alertes par e-mail.

📌 Prérequis : Windows 10/11 Pro, Enterprise ou Education. Service de messagerie configuré pour PowerShell (relais SMTP ou serveur de messagerie interne, par exemple)

1. Activez l’audit des accès aux fichiers via une stratégie de groupe.
2. Appuyez sur Win + R, saisissez PowerShell, puis appuyez sur Ctrl + Maj + Entrée.
3. Exécutez la commande suivante :

$MaxEvents = 50 # Reduced from 100 to minimize email noise

$LogName = "Security"

$EventIds = @(4663, 4670) # Specific event IDs to monitor

$SensitiveKeywords = @("administrator", "password", "confidential", "secret")

*Filtering and Processing Function*

function Process-SecurityEvents {

# Retrieve and filter events

$events = Get-WinEvent -LogName $LogName -MaxEvents $MaxEvents | 

Where-Object { 

$_.Id -in $EventIds -and 

# Additional filtering to reduce false positives

$_.TimeCreated -gt (Get-Date).AddHours(-1)

} | 

ForEach-Object {

# Additional context and sanitization

$safeMessage = $_.Message -replace '\s+', ' '

$containsSensitive = $SensitiveKeywords | Where-Object { $safeMessage -match $_ }

[PSCustomObject]@{

TimeCreated = $_.TimeCreated

Id = $_.Id

Message = if ($containsSensitive) { "Sensitive content detected" } else { $safeMessage }

SensitiveFound = $containsSensitive ? $true : $false

}

}

# Only send email if events are found

if ($events) {

$body = $events | 

Select-Object TimeCreated, Id, Message | 

Format-Table -AutoSize | 

Out-String

# Enhanced email parameters with error handling

$emailParams = @{

To = "[email protected]"

From = "[email protected]"

Subject = "Security Event Alert - $(Get-Date)"

Body = $body

SmtpServer = "smtp.company.com"

ErrorAction = "Stop"

}

try {

Send-MailMessage @emailParams

Write-Log "Security events email sent successfully"

}

catch {

Write-Log "Failed to send security event email: $_"

}

}

}

*Logging Function*

function Write-Log {

param($Message)

$logPath = "C:\Logs\SecurityMonitor\$(Get-Date -Format 'yyyyMMdd')_security.log"

"$(Get-Date) - $Message" | Out-File -Append -FilePath $logPath

}

*Main Execution*

try {

Process-SecurityEvents

}

catch {

Write-Log "Script execution error: $_"

}

4. Enregistrez le script dans un fichier texte et nommez-le FileAccessAlert.ps1. Notez son emplacement complet.
5. Appuyez sur Win + R, saisissez taskschd.msc, puis appuyez sur Ctrl + Maj + Entrée.
6. Cliquez sur Créer une tâche.
7. Dans l’onglet Général, donnez un nom à la tâche (par exemple « Alerte d’accès aux fichiers »).
8. Dans l’onglet Déclencheurs, définissez une planification (par exemple toutes les heures ou tous les jours).
9. Dans l’onglet Actions, choisissez :
   1. Démarrer un programme
   2. Programme ou script : powershell.exe
   3. Ajouter des arguments : -ExecutionPolicy Bypass -File "C:\Scripts\FileAccessAlert.ps1"
10. Enregistrez la tâche et testez-la.
11. Archivez les alertes par e-mail dans une base de connaissance partagée pour vos besoins de conformité.

Bonnes pratiques pour le suivi des accès aux fichiers

💡Astuce : voici un script PowerShell simplifié qui permet de surveiller les accès au système de fichiers en dehors des heures de travail (par exemple de 18 h à 8 h) :

$folderPath = "C:\\SensitiveData"
$watcher = New-Object System.IO.FileSystemWatcher
$watcher.Path = $folderPath
$watcher.IncludeSubdirectories = $true
$watcher.NotifyFilters = [System.IO.NotifyFilters]::FileName, 
[System.IO.NotifyFilters]::DirectoryName, 
[System.IO.NotifyFilters]::LastWrite, 
[System.IO.NotifyFilters]::LastAccess,
[System.IO.NotifyFilters]::Security
$watcher.EnableRaisingEvents = $true
$action = {
$currentHour = (Get-Date).Hour
if ($currentHour -lt 8 -or $currentHour -gt 18) {
$subject = "After-Hours Access Detected"
$body = "File event: $($Event.SourceEventArgs.ChangeType) on $($Event.SourceEventArgs.FullPath) at $($Event.TimeGenerated)"
Send-MailMessage -To "[email protected]" -From "[email protected]" -Subject $subject -Body $body -SmtpServer "smtp.company.com"
}
}
Register-ObjectEvent $watcher "Changed", "Created", "Deleted", "Renamed" -Action $action

Exemple de point d’automatisation

Exécutez ce script PowerShell avec des droits d’administrateur pour récupérer les journaux d’audit SharePoint depuis Microsoft 365. Planifiez-le chaque semaine pour récupérer les journaux d’audit des fichiers et dossiers hébergés dans le cloud :

Search-UnifiedAuditLog -StartDate (Get-Date).AddDays(-7) -EndDate (Get-Date) -RecordType SharePointFileOperation |

Export-Csv "M365FileAccessLog.csv" -NoTypeInformation

💡Remarque : ce script récupère tous les événements d’audit liés à SharePoint/OneDrive des sept derniers jours, ce qui demandera un travail d’analyse considérable.

Évitez la surcharge de journaux en centralisant les journaux exportés avec des plateformes de gestion des terminaux qui intègrent des systèmes de gestion des tickets dédiés : vous suivrez ainsi les modifications d’accès aux fichiers sans effort.

Auditer les accès aux fichiers avec NinjaOne

NinjaOne accompagne les professionnels de l’informatique avec une plateforme RMM qui permet à votre équipe de gérer à distance l’intégrité de l’appareil et l’inventaire logiciel depuis un panneau de contrôle centralisé. Les fonctionnalités de NinjaOne facilitent le processus :

• Planification de scripts sur des terminaux spécifiques à votre place.
• Base de connaissance dédiée pour vos exports d’audit.
• Suivi des modifications au niveau du système et des installations de logiciels non autorisées (avec suppression automatique en option).
• Simplification des rapports d’intégrité de l’appareil grâce à des tableaux de bord destinés aux clients.

Auditer les accès aux partages de fichiers avec des solutions automatisées

Une journalisation d’audit des fichiers simple et peu coûteuse est possible grâce aux fonctionnalités intégrées, mais elle gagne encore en efficacité avec des plateformes RMM cloud-native. Même si la charge de travail doit rester minimale, ces services proposent des outils modernes qui vont bien au-delà du kit de démarrage : vous prenez l’avantage sur vos concurrents sans vous ruiner en SIEM.

À l’image du chiffrement intégré, la gestion des autorisations de fichiers apporte à votre entreprise une couche essentielle de sécurité et de surveillance. Pilotez l’ensemble depuis un tableau de bord tout-en-un qui privilégie la personnalisation et la polyvalence pour un meilleur contrôle.

Sujets connexes :

• Comment autoriser ou refuser l’accès des applications au système de fichiers dans Windows 10/11
• Comment sauvegarder et restaurer les autorisations des fichiers, dossiers ou Drive dans Windows
• Comment configurer les autorisations héritées pour les fichiers et dossiers dans Windows
• Qu’est-ce que la gestion des informations et des événements de sécurité (SIEM) ?