Как я могу найти то, кто или что удалило файлы в system32 каталоге?
3 ответа
Единственный способ поймать этот вид материала состоит в том, чтобы иметь уровень файла уже, контролирующий на месте. После факта Вы не можете узнать. Такой аудит является страшно спамным и в значительной степени требует некоторого стороннего механизма агрегирования/анализа журнала.
5
ответ дан sysadmin1138
4 December 2019 в 11:35
Ссылка
Если можно сузить его на основе того, когда ошибки сначала появились в журнале событий, Вы можете проверять события входа в систему/выхода из системы для наблюдения, кто был зарегистрирован примерно в то время, когда запущенная проблема. Это не поможет, если удаление произошло через сетевой ресурс.
0
ответ дан Fred
4 December 2019 в 11:35
Ссылка