[dmitryst]

krec, может, их тупо переносят мышью в другие папки? (у меня так было неоднократно, "Усё пропало, файла нет, стёрли!!!! Аааа!!!". Смотришь в поиске - а вот он, в другой папке лежит.... Ну у меня-то samba с настроенным аудитом, можно посмотреть, кто и когда что делал... Как в 2019 - не подскажу )

[krec]

dmitryst, да, такой вариант тоже рассмотрел, делал поиск и по файлам, и по типу/расширению, нет ничего.

[dmitryst]

krec, ну тогда пробуйте как-то так

[Anton04]

Может аудит надо включить? »

Как подсказал коллега dmitryst, аудит Вам поможет. Плюс к этому теневое копирование на сервере будет не лишним.

[krec]

понял, спасибо, попробую. А без AD пойдет?
У нас просто AD нету. Но на сервере есть учетные записи, от локальных машин, по которым они подключаюся к шарам на сервере.

[dmitryst]

А без AD пойдет? »

Запускайте на сервере локальные политики - gpedit.msc. Вам нужен аудит сервера, вот на нем и включайте аудит, рабочие места не трогайте.

[snark]

Делал по этой статье для английской версии Windows Server 2016, удаления пишутся в текстовые файлы, поиск по журналу каждые 10 минут (чтобы размазывать нагрузку). Файлы с записями об удалениях складываются в папку D:\.FileLog в подкаталоги ГГГГ\ММ\ДД. Есть ещё параллельная запись в MS SQL, но я убрал этот вариант, на первое время хватит и текстовиков. Конечно же, включен аудит успешных удалений от корня шары. Включены теневые копии для быстрого восстановления.

В строке

Код:

if (($Body -match ".*SHARE*") -and ($Body.User_ -notmatch 'DFS01*'))

SHARE — то название корневого каталога на файловом сервере, а DFS01 — имя самого файлового сервера. Эти значения замените своими.

Код:

$Time = (Get-Date) - (New-Timespan -Min 10)
$BodyL = ""

# $Events - содержит время и порядковый номер записи евента с ID=4660. И сортируем по порядковому номеру.
# При удалении файла создается сразу 2 записи, с ID=4660 и ID=4663.
$Events = Get-WinEvent -FilterHashtable @{LogName = "Security"; ID = 4660; StartTime = $time } | Select TimeCreated, @{n = "Record"; e = { ([xml]$_.ToXml()).Event.System.EventRecordID } } | sort Record
$TimeSpan = New-TimeSpan -sec 1
foreach ($event in $events) {
    $PrevEvent = $Event.Record
    $PrevEvent = $PrevEvent - 1
    $TimeEvent = $Event.TimeCreated
    $TimeEventEnd = $TimeEvent + $TimeSpan
    $TimeEventStart = $TimeEvent - (New-Timespan -sec 1)
    $Body = Get-WinEvent -FilterHashtable @{LogName = "Security"; ID = 4663; StartTime = $TimeEventStart; EndTime = $TimeEventEnd } | ? { ([xml]$_.ToXml()).Event.System.EventRecordID -match "$PrevEvent" } | ? { ([xml]$_.ToXml()).Event.EventData.Data | ? { $_.name -eq "ObjectName" } | ? { ($_.'#text') -notmatch ".*tmp" } | ? { ($_.'#text') -notmatch ".*~lock*" } | ? { ($_.'#text') -notmatch ".*~$*" } } | select TimeCreated, @{n = "File_"; e = { ([xml]$_.ToXml()).Event.EventData.Data | ? { $_.Name -eq "ObjectName" } | % { $_.'#text' } } }, @{n = "User_"; e = { ([xml]$_.ToXml()).Event.EventData.Data | ? { $_.Name -eq "SubjectUserName" } | % { $_.'#text' } } }
    if (($Body -match ".*SHARE*") -and ($Body.User_ -notmatch 'DFS01*')) {
        $LocalTime = ($Body.TimeCreated).ToString("yyyy-MM-dd HH:mm:ss")
        $BodyL = $BodyL + $LocalTime + "`t" + $Body.File_ + "`t" + $Body.User_ + "`n"
    }
}

$Hour = $Time.ToString("HH")
$Day = $Time.ToString("dd")
$Month = $Time.ToString("MM")
$Year = $Time.Year
$name = "DeletedFiles-" + $Year + $Month + $Day + "-" + $Hour + ".txt"
$YearF = "D:\.FileLog\" + $Year
$MonthF = $YearF + "\" + $Month
$DayF = $MonthF + "\" + $Day
$folders = $YearF, $MonthF, $DayF
foreach ($sub in $folders) {
    if (!(Test-Path $sub)) {New-Item -Path $sub -ItemType Directory}
}
$Outfile = $DayF + "\" + $name
$BodyL | Out-File $Outfile -Append