イベントID 4656と4663が監査ログに同時に報告される理由

環境

• ONTAP 9
• CIFS
• 監査
• AD AuditPlus

回答

• 監査ログで、イベントID 4656および4663が同時に報告され、サードパーティの監査ツール（AD AuditPlus）に対応する場合は、同じユーザが同じ タイムスタンプで同じファイルパスを作成および削除したことを示します。

例：

User1Domain.com User 'User1' Deleted file/folder '\\file123. KYC\2024\3. Review of Document.pdf'.
User1Domain.com User 'User1' Created file/folder '\\file123. KYC\2024\3. Review of Document.pdf'.

• 上記の動作は、拡張子が.docxおよび.xlsのファイルに固有です。オブジェクトが置換または更新/変更されているときに、監査ログでの削除処理と作成処理が同時に実行される可能性があります。実際のファイルやフォルダが削除されることはない