[Казбек]

Костя_Лу@vk,

• Automatically delete files in Downloads folder & Recycle Bin after 30 days in Windows 10
• Apply a basic audit policy on a file or folder

Они удаляются по определенным путям или по рандомным?? Если по определенным, то что это за пути??

[Костя_Лу@vk]

определный путь с вложенными папками
h:/progi -всё пропало который раз.. там гигов 100

Automatically delete files in Downloads folder & Recycle Bin after 30 days in Windows 10 »

В моей нет такого. есть только перечень дисков с указание занятого пространства, и выбор куда сохранять новые файлы.

[Казбек]

h:/progi всё пропало который раз»

То есть, папка и путь абсолютно конкретны. Аудит в помощь:

• Use auditing to track who deleted your files
• Using Windows Auditing to track user activity
• Apply a basic audit policy on a file or folder

Возможен так же вариант с ProcMon, если не пугает размер лога, но лучше аудит.

[Костя_Лу@vk]

Включил аудит,попробовал удалить файл. но в журнале записи нет.
Скрин

Скрытый текст

[Казбек]

Костя_Лу@vk,

В строке Выполнить:

Код:

gpedit.msc

Windows Settings -> Security Settings -> Local Policies -> Audit Policy

Audit Object Access

Event ID 4656

[Костя_Лу@vk]

Спасибо,теперь пишется. жаль что в логах конкретно не указывается что файл удален ,а только коды,коды
на диск стало мого писаться, почти 100% нагрузка пошла. В логах фиксируются все файлы со всех дисков,а не только которым я указал

[Казбек]

В логах фиксируются все файлы со всех дисков »

Determines whether to audit the event of a user accessing an object--for example, a file, folder, registry key, printer, and so forth--that has its own system access control list (SACL) specified. Note: You can set a SACL on a file system object using the Security tab in that object's Properties dialog box.

Источник

There are no objects configured to be audited by default. Once this auditing setting for an object is configured, log entries on access attempts (Successful and Failed) start getting recorded and you will be able to view the object access related events in the security log in Event Viewer. (See Screen Shot Below)

Источник


В вашем случае, кстати, политику можно ограничить, сняв галочку с:

Скрытый текст

Да и поиск использовать никто не запрещал: Find - Desktop.
Вместо Desktop можно использовать любую составляющую часть пути необходимой папки.

Еще возможен вариант с помощью программы LeeLu Monitors. Незарегистрированная версия позволяет мониторить только одну папку, но вам этого должно хватить:

Инструкция

[severagent007]

в папке system volume information »

Каждую неделю »

Восстановление системы, история файлов включено? Программ бэкапа нет?
Где именно? Какой путь становится у украденных исчезнувших папок?

[Костя_Лу@vk]

Восстановление системы, история файлов включено? Программ бэкапа нет? Где именно? Какой путь становится у украденных исчезнувших папок? »

Востановление системы и файлов отключены. Программы бекапа есть, но для для 100 гб папки нету(не логично использовать). Их никто не крал. ПУсть становится h:/system Volume Inforemation / progi и так далее по иерархии

Казбек,

Пока оставлю Аудит, но потом придется логи лопатой вычишать, пару камазов... Сегондя вроде на месте все. Мне кажется это толи от cleanmgr CHKDSK
sfc /scannow
DISM /Online /Cleanup-Image /ScanHealth

время от времени выполняю