Zo houdt u wijzigingen in bestandstoegang voor klanten bij zonder SIEM

Met ingebouwde Microsoft-functies en lichte RMM-tools kunt u wijzigingen in bestandstoegang bijhouden, wat de kosten en complexiteit beperkt. Dat is vooral belangrijk voor het midden- en kleinbedrijf (mkb), dat niet beschikt over Security Information and Event Management-oplossingen (SIEM) op enterpriseniveau.

Dit artikel is nuttig wanneer u wijzigingen in bestandstoegang effectief wilt bijhouden met minimale overhead. Lees verder en ontdek hoe u met native tools en moderne endpoint-platformen geautoriseerd gebruik controleert.

Gebruik de functies van Microsoft Windows om toegangswijzigingen bij te houden

Windows-pc’s beschikken over tools waarmee u machtigingen kunt volgen, logboeken kunt exporteren en scripts kunt uitvoeren. Houd rekening met de technische grenzen van uw organisatie voordat u de stappen doorloopt.

📌 Vereisten:

• Beheerdersrechten
• Toegang tot bestandsservers (Windows Server) en de Microsoft 365-tenant
• Kennis van Groepsbeleid of de configuratie van lokaal beveiligingsbeleid
• Een opslag- of documentatiesysteem (NinjaOne Docs, IT Glue, SharePoint) voor het exporteren en beoordelen van logboeken

🎥 Deze visuele handleiding laat precies zien hoe u wijzigingen in bestandstoegang voor klanten bijhoudt zonder SIEM.

Stap 1: schakel controle van wijzigingen in bestandstoegang in Windows in

Om bestandstoegang en wijzigingen in machtigingen te gaan volgen, schakelt u Geavanceerde configuratie van auditbeleid in de Editor voor lokaal groepsbeleid in. Zo legt Windows toegangspogingen en wijzigingen in machtigingen vast in uw beveiligingslogboek (eventvwr). Dit is hoe u dat doet:

📌 Use cases: gebruik dit om machtigingen voor bestandstoegang te volgen.

📌 Vereisten: Windows 10/11 Pro, Enterprise of Education

1. Druk op Win + R, typ gpedit.msc en druk op Ctrl + Shift + Enter.
2. Ga naar:

Computerconfiguratie > Beleid > Windows-instellingen > Beveiligingsinstellingen > Geavanceerde configuratie van auditbeleid > Objecttoegang

3. Schakel Bestandssysteem controleren in voor zowel geslaagde als mislukte gebeurtenissen.
   1. Het beveiligingslogboek registreert het volgende:
      1. Gebeurtenis-ID 4670: wijzigingen in machtigingen
4. Klik op Toepassen en daarna op OK.

De officiële Microsoft-documentatie over auditbeleid vindt u hier.

💡 Pro-tip: vergeet de SACL niet

Het inschakelen van het auditbeleid is nog maar het halve werk. U moet Windows ook vertellen welke mappen het in de gaten moet houden.

1. Klik met de rechtermuisknop op de gevoelige map en selecteer Eigenschappen.
2. Ga naar Beveiliging > Geavanceerd > Controleren.
3. Klik op Toevoegen, selecteer een principal (bijvoorbeeld “Iedereen”) en kies de machtigingen die u wilt volgen (bijvoorbeeld Verwijderen, Schrijven, Machtigingen wijzigen).

⚠️ Waarschuwing: vergroot uw logboek

Bestandscontrole levert veel “ruis” op. Het standaardformaat van het beveiligingslogboek is vaak te klein, waardoor het binnen enkele uren wordt overschreven.

• Open Logboeken, klik met de rechtermuisknop op het beveiligingslogboek en selecteer Eigenschappen.
• Verhoog de “Maximale logboekgrootte” naar minimaal 102.400 KB (100 MB) of hoger, afhankelijk van het verkeer op uw server, zodat u geen gegevens verliest voordat uw scripts worden uitgevoerd.

Stap 2: exporteer belangrijke gebeurtenissen met PowerShell

Gebruik krachtige scripts om uw beveiligingslogboeken automatisch te controleren op relevante gebeurtenis-ID’s.

📌 Use cases: gebruik dit om snel gegevens te verzamelen en leesbare rapporten te maken.

1. Druk op Win + R, typ PowerShell en druk op Ctrl + Shift + Enter.
2. Voer het volgende uit:

Get-WinEvent -FilterHashtable @{

LogName = 'Security';

Id = 4670;

StartTime = (Get-Date).AddDays(-7)

} | Export-Csv "C:\AuditLogs\PermissionChanges.csv" -NoTypeInformation

Vervang <FileName> door de naam van uw geëxporteerde CSV-bestand.

U kunt ook de Taakplanner gebruiken om wekelijks PowerShell-query’s uit te voeren voor geautomatiseerde controles van bestandstoegang.

Stap 3: controleer bestandstoegang in Microsoft 365

In omgevingen die sterk op Microsoft leunen optimaliseert u het volgen van toegang met tools zoals Microsoft Purview. De auditlogboeken geven inzicht in bestandstoegang en wijzigingen in machtigingen binnen SharePoint, OneDrive en Teams, zodat IT-professionals risico’s kunnen beperken en compliance kunnen waarborgen.

📌 Use case: ideaal voor organisaties die gevoelige gegevens beheren in Microsoft 365.

Met Microsoft Purview

1. Ga naar de Microsoft Purview-compliance portal.
2. Ga naar:

Controleren > Registratie van gebruikers- en beheeractiviteit starten

3. Gebruik de auditzoekfunctie om relevante gebruikersactiviteiten te filteren (bijvoorbeeld FileAccessed).
4. Exporteer de resultaten naar CSV voor rapportage of analyse.
5. Stel waarschuwingsbeleid in voor gevoelige acties (bijvoorbeeld extern delen of wijzigingen in machtigingen).

Zonder Microsoft Purview

Ook zonder Microsoft 365-licentie voor Purview kunnen ervaren gebruikers het delen van bestanden volgen via het Unified Audit Log (beschikbaar in Microsoft 365 E3 en enkele Business-abonnementen). U opent dit via het Security & Compliance Center en ziet eenvoudig wie welke bestanden heeft bekeken en welke documenten recent zijn gedeeld.

Stap 4: bouw een lichte reviewworkflow

Het vastleggen van alle wijzigingen in machtigingen is essentieel om verantwoording af te leggen, context te bieden en de productiviteit op peil te houden. Houd wijzigingen in bestandstoegang bij in een overzichtstabel met de volgende onderdelen:

• Datum: wanneer de wijziging in bestandstoegang plaatsvond
• Gebruiker: de betrokken medewerkers bij de wijziging
• Bestand/map: het specifieke bestand of de map waarvan de toegangsrechten zijn gewijzigd
• Actie: de wijziging die is aangebracht in de toegangsinstellingen van het bestand
• Notities: relevante details over wijzigingen in bestandstoegang die per kwartaal door een aangewezen teamlid worden beoordeeld

Stap 5: integreer notificaties zonder SIEM om wijzigingen in bestandstoegang bij te houden

Realtime notificaties zijn cruciaal om tijdig te kunnen handelen of het nu gaat om ontbrekende machtigingen of om uw IT-incidentrespons. Zo volgt u moeiteloos bestandstoegang en wijzigingen in machtigingen met scripts die u waarschuwen zodra een actie wordt gedetecteerd.

📌 Use cases: gebruik deze stap om wijzigingen in bestandstoegang bij te houden via e-mailnotificaties.

📌 Vereisten: Windows 10/11 Pro, Enterprise of Education. Een e-mailservice die is geconfigureerd voor PowerShell (bijvoorbeeld een SMTP-relay of interne mailserver)

1. Schakel controle van bestandstoegang in via Groepsbeleid.
2. Druk op Win + R, typ PowerShell en druk op Ctrl + Shift + Enter.
3. Voer het volgende uit:

$MaxEvents = 50 # Reduced from 100 to minimize email noise

$LogName = "Security"

$EventIds = @(4663, 4670) # Specific event IDs to monitor

$SensitiveKeywords = @("administrator", "password", "confidential", "secret")

*Filtering and Processing Function*

function Process-SecurityEvents {

# Retrieve and filter events

$events = Get-WinEvent -LogName $LogName -MaxEvents $MaxEvents | 

Where-Object { 

$_.Id -in $EventIds -and 

# Additional filtering to reduce false positives

$_.TimeCreated -gt (Get-Date).AddHours(-1)

} | 

ForEach-Object {

# Additional context and sanitization

$safeMessage = $_.Message -replace '\s+', ' '

$containsSensitive = $SensitiveKeywords | Where-Object { $safeMessage -match $_ }

[PSCustomObject]@{

TimeCreated = $_.TimeCreated

Id = $_.Id

Message = if ($containsSensitive) { "Sensitive content detected" } else { $safeMessage }

SensitiveFound = $containsSensitive ? $true : $false

}

}

# Only send email if events are found

if ($events) {

$body = $events | 

Select-Object TimeCreated, Id, Message | 

Format-Table -AutoSize | 

Out-String

# Enhanced email parameters with error handling

$emailParams = @{

To = "[email protected]"

From = "[email protected]"

Subject = "Security Event Alert - $(Get-Date)"

Body = $body

SmtpServer = "smtp.company.com"

ErrorAction = "Stop"

}

try {

Send-MailMessage @emailParams

Write-Log "Security events email sent successfully"

}

catch {

Write-Log "Failed to send security event email: $_"

}

}

}

*Logging Function*

function Write-Log {

param($Message)

$logPath = "C:\Logs\SecurityMonitor\$(Get-Date -Format 'yyyyMMdd')_security.log"

"$(Get-Date) - $Message" | Out-File -Append -FilePath $logPath

}

*Main Execution*

try {

Process-SecurityEvents

}

catch {

Write-Log "Script execution error: $_"

}

4. Sla het script op in een tekstbestand met de naam FileAccessAlert.ps1. Noteer de volledige bestandslocatie.
5. Druk op Win + R, typ taskschd.msc en druk op Ctrl + Shift + Enter.
6. Klik op Taak maken.
7. Geef de taak onder Algemeen een naam (bijvoorbeeld “Melding bestandstoegang”).
8. Stel onder Triggers een schema in (bijvoorbeeld elk uur of dagelijks).
9. Kies onder Acties:
   1. Een programma starten
   2. Programma of script: powershell.exe
   3. Argumenten toevoegen: -ExecutionPolicy Bypass -File "C:\Scripts\FileAccessAlert.ps1"
10. Sla de taak op en test deze.
11. Archiveer e-mailnotificaties in een gedeelde knowledge base voor compliance-doeleinden.

Beste praktijken voor het volgen van bestandstoegang

Beste praktijk	Wat het oplevert	Voorbeeldscenario’s
Bestandscontrole in Windows inschakelen	Hiermee kunnen IT-professionals wijzigingen in bestandstoegang volgen via ingebouwde systeemgebeurtenissen	Een MSP schakelt het volgen van bestandstoegang in om ongeautoriseerde toegang tot financiële mappen met een hoog risico te detecteren.
PowerShell-exports gebruiken	Detecteert en exporteert systeemgebeurtenissen om de monitoring van bestandstoegang te vereenvoudigen	Een technicus plant een PowerShell-exportscript dat elke twee weken rapporten naar compliance-kanalen stuurt.
Auditlogboeken van Microsoft 365 benutten	Breidt het volgen uit naar cloud-based bestanden en mappen	Een uitgebreid QBR-rapport laat zien hoe HR-mappen op SharePoint extern zijn benaderd.
Een register van toegangswijzigingen bijhouden	Zorgt voor transparantierapporten die klaar zijn voor de klant	Een IT-servicedesk detecteerde recente wijzigingen in machtigingen op gevoelige mappen en vroeg de klant om opheldering.
Notificaties bij afwijkingen automatiseren	Verlaagt de MTTR (Mean Time To Respond)	Een aangepast script detecteert toegang tot beveiligde mappen buiten kantooruren en stuurt automatisch een e-mail naar security operations.
Beleid voor logboekrotatie	Voorkomt vertraging van het systeem en zorgt dat historische gegevens bewaard blijven.	De beheerder stelt logboeken in op “Archiveren wanneer vol” om een spoor van een jaar te behouden voor HIPAA-compliance.

💡Tip: hier is een vereenvoudigd PowerShell-script dat toegang tot het bestandssysteem buiten kantooruren kan monitoren (bijvoorbeeld van 18.00 tot 8.00 uur):

$folderPath = "C:\\SensitiveData"
$watcher = New-Object System.IO.FileSystemWatcher
$watcher.Path = $folderPath
$watcher.IncludeSubdirectories = $true
$watcher.NotifyFilters = [System.IO.NotifyFilters]::FileName, 
[System.IO.NotifyFilters]::DirectoryName, 
[System.IO.NotifyFilters]::LastWrite, 
[System.IO.NotifyFilters]::LastAccess,
[System.IO.NotifyFilters]::Security
$watcher.EnableRaisingEvents = $true
$action = {
$currentHour = (Get-Date).Hour
if ($currentHour -lt 8 -or $currentHour -gt 18) {
$subject = "After-Hours Access Detected"
$body = "File event: $($Event.SourceEventArgs.ChangeType) on $($Event.SourceEventArgs.FullPath) at $($Event.TimeGenerated)"
Send-MailMessage -To "[email protected]" -From "[email protected]" -Subject $subject -Body $body -SmtpServer "smtp.company.com"
}
}
Register-ObjectEvent $watcher "Changed", "Created", "Deleted", "Renamed" -Action $action

Voorbeeld van een automatiseringsmoment

Voer dit PowerShell-script uit met beheerdersrechten om SharePoint-auditlogboeken op te halen uit Microsoft 365. Plan het wekelijks in om auditlogboeken van cloud-based bestanden en mappen op te halen:

Search-UnifiedAuditLog -StartDate (Get-Date).AddDays(-7) -EndDate (Get-Date) -RecordType SharePointFileOperation |

Export-Csv "M365FileAccessLog.csv" -NoTypeInformation

💡Opmerking: dit script haalt alle auditgebeurtenissen van de afgelopen zeven dagen op die betrekking hebben op SharePoint/OneDrive. De analyse daarvan vraagt aanzienlijke overhead.

Voorkom een overvloed aan logboeken door geëxporteerde logboeken te centraliseren met endpoint management-platformen met een eigen ticketsysteem, zodat u wijzigingen in bestandstoegang eenvoudig bijhoudt.

Bestandstoegang controleren met NinjaOne

NinjaOne geeft IT-professionals een RMM-platform waarmee uw team op afstand de apparaatgezondheid en software-inventaris beheert vanuit een enkel dashboard. De functies van NinjaOne maken het proces eenvoudiger door:

• Geplande scripts voor u in te stellen op specifieke endpoints.
• Een speciale knowledge base te bieden voor auditexports.
• Wijzigingen op systeemniveau en ongeautoriseerde software-installaties te volgen (en die desgewenst automatisch te verwijderen).
• Rapporten over apparaatgezondheid te vereenvoudigen met dashboards voor klanten.

Toegang tot bestandsshares controleren met geautomatiseerde oplossingen

Eenvoudige, goedkope auditlogging van bestanden is mogelijk met ingebouwde functies, maar kan naar een hoger niveau worden getild met cloud-native RMM-platformen. Hoewel de overhead beperkt moet blijven, bieden deze diensten moderne tools die verder gaan dan het basispakket. Zo krijgt u een voorsprong op de concurrentie zonder een fortuin uit te geven aan SIEM’s.

Net als ingebouwde versleuteling biedt het beheer van bestandsmachtigingen uw organisatie een essentiële laag van beveiliging en toezicht. Houd alles in de gaten vanuit één dashboard dat maatwerk en veelzijdigheid vooropstelt voor betere controle.

Gerelateerde onderwerpen:

• Apps toegang tot het bestandssysteem geven of weigeren in Windows 10/11
• Machtigingen van bestanden, mappen of schijven back-uppen en herstellen in Windows
• Overgenomen machtigingen voor bestanden en mappen configureren in Windows
• Wat is Security Information and Event Management (SIEM)?