実は、8月くらいから、ファイルサーバーに変なファイルが増えていることに気づいていました。
工場から自由にアクセスできるフォルダー内に、MP3とか画像等が保存されていました。
winnyでもやっているのかなあと思ったのですが、さすがにルーターのポートに穴が空けれるわけもなく、どっかの倉庫からダウンロードしているのではないかと思っておりました。
これを削除したりすると、犯人がダウンロードをやめてしまうと思い泳がすことにしました。(^^;
んで、誰が、どのパソコンでダウンロードしているのかわかる方法がないかなあと色々考えたんですが、とりあえず、NTの監査機能で特定のフォルダーにアクセスしたらイベントを記録しておくようにしていました。
それが8月の出来事でその後そんなことをすっかり忘れておりました。
そして12月1日に月も変わったし、退職者のユーザーIDでも削除するかなあとサーバーをいじろうとしたところ、なんとなくイベントビューアーを起動しました。
すると、大量にアクセスの記録が残っておりました。
フォルダーを覗いてみると、ファイルがどんどん増えておりました。容量を確認すると30GBを超えるデータが記録されています。
くっそー、会社のHDDの3%を占有しやがって。保存データの総量から行くと10%近いぞ。こうなったら徹底的に調べてやる!!
と、締めの忙しい日に心に決めました(^^;
っで、イベントビュアーを見ていくと、なんだか定期的にアクセスがあります。決まって9時頃。ん?なんでこんなにアクセスがあるのかなあ。あ、自動バックアップのアクセスが記録されてるのか。(^^;
日曜日の昼にもアクセスがあるぞ。ユーザー名が製造課長だ。まさか課長が犯人ということはないよなあ(^^;
とりあえず聞いてみる。
私:日曜日の14:00頃例の変なダウンロードデータにアクセスした?
製造課長:しらん
私:あんたのユーザーIDでのアクセス記録があるんだよね。誰かにIDとPASS教えたりしていない?
製造課長:教えたりしてないよ。14:00頃は、何人か会社に来ていたけどすぐに帰ったし事務所には俺一人だったよ。
製造課長:もしかして検索しても記録残る?
私:残るかもしれない。どこを検索したの?
製造課長:サーバー全体
私:じゃあ記録に残るかもね(^^;
結局イベントビュアーからの情報では手がかりはつかめませんでした。(^^;
しかし、データは結構定期的に増加しています。タイムスタンプを見ると、最後のダウンロードは11月29日の深夜になっています。
タイムスタンプを追って勤務シフトと照合すればどの部門かわかるかもしれません。けどめんどくさい。
データをダウンロードしたらすぐに知らせてくれるような方法はないかなあ。
ウィルス感染をメールで知らせてくれるソフトもあるから、特定のフォルダーに変化があったらメールしてくれるようなソフトはないかなあ。
とgoogleで調べると、結構色々出てきます。WINNY対策や、共有ファイルを更新するとお知らせするグループウェアーの代わりみたいに使う方法もあるようです。
んで、結局、「フォルダー監視」というストレートな名前のフリーソフトを導入
http://www10.plala.or.jp/tukaeru/soft/
メール機能はないですが、プログラムが実行できるので、メール発信ソフトにバトンタッチする作戦にします。
メールソフトは、「Winmailcmd」というこれまたストレートなソフトです。
http://homepage2.nifty.com/f_takasaki/t2_winmailcmd.html
これでBATファイルを作って送信することにしました。
まずは、ファイル監視をインストール。ファイルが増えたら画面上で通知することを確認。
次にwinmailcmdは、サンプルのBATファイルを見たりドキュメントを見て研究しました。メールのサーバー・ID・PASSを一度コマンドで事前に登録する必要があるようです。
メール送信のBATには、コマンドライン上でパラメータを入れて送信します。
BATファイルにメール送信先を入れて送る実験をすると、メールが届きません。
ログファイルを見ると送信が失敗していると記録されています。
多分メールブロックが効いているのだと思い、ポート587で接続してもうまく行かず、結局個人のメールサーバー(niftyだけどね)を使ってSMTPの設定を行うとうまくいきました。
BATファイルが完成したら、ファイル監視でコマンド起動できるように設定して犯人がダウンロードするのを待ちます。
締めで忙しい後輩を捕まえて、「何者かがデータをダウンロードしてサーバーに保管しているので、サーバーを監視することにした。ダウンロードして特定のフォルダーに保存したらメールが届くようになっている。」
というと、大喜びでワクワクしています。そんな話をしていると、早速メールが届きました。
会社中でパソコンを操作しているやつをしらみつぶしに当たっていくぞ!!
なんとなく、ハイテクのようでフィニッシュはハイテクではなさそうな感じですが、とりあえずは仕方がありません。
まずが、事務所から最も近い工場のパソコンを確認します。締めで忙しいはずの後輩も張り切って捜査します。(^^;
一人パソコンをいじっておりました。
私:なにやってるの?
人:掲示板を見ています。
犯人ではなかった。
しかし、仕事中に掲示板を見るのもどうかと思いますが。まあ、休憩中のようなので良いことにします。
次の部屋は、一人いましたが、食事中なのでパソコンを触ってはいないようでした。
もしかして、工場の機械のそばにあるパソコンでやっているのか?
そうだったらすごいなーと思いつつ調べる捜査員2名、工場のラインにはパソコンが5台あります。それを調べましたが、ダウンロードの形跡はありませんでした。
手詰まりかと思った矢先、そうだ、第2工場のパソコンも1台あった。もうあそこしかない。
あそこは少し離れていてあまり人がいないからダウンロードを行うにはもってこいだ。
ということで捜査員2名は第2工場へ向かうことにしました。
途中で私はトイレに行き、後輩は先に行きました。
少し遅れていってみると、後輩が会心の笑みを浮かべております。
HITしました。丁度ダウンロード中の画面が表示されておりました。
完璧だ!!
犯人が特定できた。イヤー良かった良かった。まさか仕掛けを作った直後にHITするとは思わなかったなあ。(^^)
犯人は、パソコンの前にはおらず、ダウンロードをパソコンにさせている間に仕事をしているようでした。
次の日、直属のBOSSに報告
私:また例のフォルダーに大量にダウンロードされていたよ。
BOSS:誰かわかんないんだろ?
私:いやわかっちゃった。○○さん
BOSS:よしわかった。事情聴取しよ。今回はどうすっかなあ反省文で勘弁してやっか。
BOSSは本人に「ダウンロードの件」という題でメールを打ちましたとさ。
めでたしめでたし。
最近のコメント