[snark]

Делал по этой статье для английской версии Windows Server 2016, удаления пишутся в текстовые файлы, поиск по журналу каждые 10 минут (чтобы размазывать нагрузку). Файлы с записями об удалениях складываются в папку D:\.FileLog в подкаталоги ГГГГ\ММ\ДД. Есть ещё параллельная запись в MS SQL, но я убрал этот вариант, на первое время хватит и текстовиков. Конечно же, включен аудит успешных удалений от корня шары. Включены теневые копии для быстрого восстановления.

В строке

Код:

if (($Body -match ".*SHARE*") -and ($Body.User_ -notmatch 'DFS01*'))

SHARE — то название корневого каталога на файловом сервере, а DFS01 — имя самого файлового сервера. Эти значения замените своими.

Код:

$Time = (Get-Date) - (New-Timespan -Min 10)
$BodyL = ""

# $Events - содержит время и порядковый номер записи евента с ID=4660. И сортируем по порядковому номеру.
# При удалении файла создается сразу 2 записи, с ID=4660 и ID=4663.
$Events = Get-WinEvent -FilterHashtable @{LogName = "Security"; ID = 4660; StartTime = $time } | Select TimeCreated, @{n = "Record"; e = { ([xml]$_.ToXml()).Event.System.EventRecordID } } | sort Record
$TimeSpan = New-TimeSpan -sec 1
foreach ($event in $events) {
    $PrevEvent = $Event.Record
    $PrevEvent = $PrevEvent - 1
    $TimeEvent = $Event.TimeCreated
    $TimeEventEnd = $TimeEvent + $TimeSpan
    $TimeEventStart = $TimeEvent - (New-Timespan -sec 1)
    $Body = Get-WinEvent -FilterHashtable @{LogName = "Security"; ID = 4663; StartTime = $TimeEventStart; EndTime = $TimeEventEnd } | ? { ([xml]$_.ToXml()).Event.System.EventRecordID -match "$PrevEvent" } | ? { ([xml]$_.ToXml()).Event.EventData.Data | ? { $_.name -eq "ObjectName" } | ? { ($_.'#text') -notmatch ".*tmp" } | ? { ($_.'#text') -notmatch ".*~lock*" } | ? { ($_.'#text') -notmatch ".*~$*" } } | select TimeCreated, @{n = "File_"; e = { ([xml]$_.ToXml()).Event.EventData.Data | ? { $_.Name -eq "ObjectName" } | % { $_.'#text' } } }, @{n = "User_"; e = { ([xml]$_.ToXml()).Event.EventData.Data | ? { $_.Name -eq "SubjectUserName" } | % { $_.'#text' } } }
    if (($Body -match ".*SHARE*") -and ($Body.User_ -notmatch 'DFS01*')) {
        $LocalTime = ($Body.TimeCreated).ToString("yyyy-MM-dd HH:mm:ss")
        $BodyL = $BodyL + $LocalTime + "`t" + $Body.File_ + "`t" + $Body.User_ + "`n"
    }
}

$Hour = $Time.ToString("HH")
$Day = $Time.ToString("dd")
$Month = $Time.ToString("MM")
$Year = $Time.Year
$name = "DeletedFiles-" + $Year + $Month + $Day + "-" + $Hour + ".txt"
$YearF = "D:\.FileLog\" + $Year
$MonthF = $YearF + "\" + $Month
$DayF = $MonthF + "\" + $Day
$folders = $YearF, $MonthF, $DayF
foreach ($sub in $folders) {
    if (!(Test-Path $sub)) {New-Item -Path $sub -ItemType Directory}
}
$Outfile = $DayF + "\" + $name
$BodyL | Out-File $Outfile -Append