監査対象オブジェクトの場所は、2つのタグ、 ObjectName タグ（パス）と HandleID タグ（ハンドル）を使用してイベントレコードに記録されます。どのストリーム要求がログに記録されているかを正しく特定するためには、NTFS代替データストリームについてONTAPがこれらのフィールドに記録する内容を理解する必要があります。

EVTX ID：4656イベント（監査イベントopenおよびcreate）
- 代替データストリームのパスは ObjectName タグに記録されます。
- 代替データストリームのハンドルは HandleID タグに記録されます。
EVTX ID：4663イベント（read、write、getattrなど、その他すべての監査イベント）
- ベースファイルの（代替データストリームではない）パスは ObjectName タグに記録されます。
- 代替データストリームのハンドルは HandleID タグに記録されます。

例

次の例は、 HandleID タグを使用して代替データストリームのEVTX ID：4663イベントを特定する方法を示しています。read監査イベントに記録された ObjectName タグ（パス）がベースファイルへのパスであっても、 HandleID タグを使用することで、このイベントを代替データストリームの監査レコードとして特定できます。

ストリームファイル名は base_file_name:stream_name という形式になります。この例では、 dir1 ディレクトリーに代替データストリームがあるベースファイルが含まれており、パスは次のとおりです。

/dir1/file1.txt
/dir1/file1.txt:stream1

次のイベント例の出力は省略されており、イベントの一部の出力タグは表示されていません。

EVTX ID 4656（open監査イベント）の場合、代替データストリームの監査レコード出力では、代替データストリーム名が ObjectName タグに記録されています。

- <Event>
- <System>
  <Provider Name="Fujitsu-Security-Auditing" />
  <EventID>4656</EventID>
  <EventName>Open Object</EventName>
  [...]
  </System>
- <EventData>
  [...]
  **<Data Name="ObjectType"\>Stream</Data\>
  <Data Name="HandleID"\>00000000000401;00;000001e4;00176767</Data\>
  <Data Name="ObjectName"\>\(data1\);/dir1/file1.txt:stream1</Data\>          **
  [...]
  </EventData>
  </Event>
- <Event>

EVTX ID 4663（read監査イベント）の場合、同じ代替データストリームの監査レコード出力でベースファイル名が ObjectName タグに記録されています。ただし、 HandleID タグのハンドルは代替データストリームのハンドルで、このハンドルを使用してこのイベントを代替データストリームに関連付けることができます。

- <Event>
- <System>
  <Provider Name="Fujitsu-Security-Auditing" />
  <EventID>4663</EventID>
  <EventName>Read Object</EventName>
  [...]
  </System>
- <EventData>
  [...]
  **<Data Name="ObjectType"\>Stream</Data\>
  <Data Name="HandleID"\>00000000000401;00;000001e4;00176767</Data\>
  <Data Name="ObjectName"\>\(data1\);/dir1/file1.txt</Data\> **
  [...]
  </EventData>
  </Event>
- <Event>

ONTAP 9 マニュアル ( CA08871-402 )

代替NTFSデータ ストリームを監査する場合の考慮事項

代替NTFSデータストリームを監査する場合の考慮事項