Hace unos días un amigo diciendo siento que me miran que otro amigo le estaba espiando el ordenador dicho esto pensé en hacer esta entrada para dar una pequeña explicación como protegernos de los "espías".
En esos caso lo mejor es hacer un análisis forense del equipo para descubrir qué ha pasado allí en el último periodo de tiempo de uso de ese equipo. En ese momento se revisan logs, eventos, se buscan usuarios con cuentas ocultas, malware instalado en la máquina y/o software de control remoto que pueda estar instalado en la máquina.
No obstante existen espionajes que son mas dificiles de detectar tales como el que se producen desde el mismo ID de usuario que tienen / el de la novia(o) que te revisa minuciosamente el ordenador, etc.
Dicho es activar la Auditoria de acceso a objetos en Windows.
En los sistemas Windows, haciendo uso de las políticas se puede habilitar la auditoría de acceso a ficheros, basta con abrir
-------------------------------------------
gpedit.msc y activar la auditoria.
-------------------------------------------
Por defecto viene desactivada, así que hay que establecer si se quiere activar cuando se produce un acceso con éxito o sin éxito a un objeto. Por supuesto, si hay paranoia, lo mejor es auditar todos los eventos y revisar los intentos de acceso a nuestros archivos.
Una vez configurada la auditoría, hay que actualizar la política con:
---------------------
gpupdate /force
---------------------
y pasar a configurar de qué objetos queremos auditar sus accesos. Para ellos yo pondré a auditar una partición , y en ella, entrando en:
---------------------------------------------------------
Seguridad, Opciones Avanzadas, Auditoria
---------------------------------------------------------
he seleccionado que se audite el uso de cualquier privilegio sobre esta partición.
Así, en el momento en que un usuario o servicio toque esa carpeta, se va a generar un registro de sucesos que podremos ver con el Visor de Eventos.
Para que sea más cómodo de revisar es mejor crear una vista personalizada para los sucesos de auditoría que nos permitirá saber qué usuario, a qué hora y con qué programa accedió a esos documentos.
Después, basta con seleccionar esa vista personalizada y revisar los eventos que se han ido generando para saber quién estuvo accediendo a esos ficheros y a qué hora.
Saludos..!
