divit«Кто удалил папку с договорами?» — вопрос, на который Windows может ответить, но только если аудит был включён заранее. Если его не было, узнать автора удаления задним числом не получится — остаётся восстановить файл из резервной копии или теневой копии. Поэтому настройте аудит сейчас.
Шаг 1. Включите политику аудита
На сервере с общими папками (или в групповой политике домена для серверов): Конфигурация компьютера → Параметры Windows → Параметры безопасности → Конфигурация расширенной политики аудита → Политики аудита → Доступ к объектам → Аудит файловой системы → отметьте «Успех».
Примените политику: gpupdate /force.
Шаг 2. Укажите, какую папку отслеживать
Свойства общей папки → Безопасность → Дополнительно → вкладка «Аудит» → Добавить:
- Субъект — «Все» (или группа сотрудников);
- Тип — «Успех»;
- Применяется к — «Для этой папки, её подпапок и файлов»;
- Разрешения — нажмите «Отображение дополнительных разрешений» и отметьте «Удаление» и «Удаление подпапок и файлов». Можно добавить «Запись данных», если нужно видеть изменения.
Не включайте аудит «на всё»: журнал быстро заполнится тысячами событий о чтении файлов.
Шаг 3. Увеличьте журнал безопасности
Просмотр событий → Журналы Windows → Безопасность → Свойства: увеличьте максимальный размер (например, до 1–2 ГБ), иначе старые события будут быстро перезаписываться.
Как найти, кто удалил файл
Просмотр событий → Безопасность → «Фильтр текущего журнала» → код события 4663. В событии указаны имя пользователя, путь к файлу и время. В поле «Доступ» удаление обозначается как DELETE.
То же в PowerShell:
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4663} -MaxEvents 200 |
Where-Object { $_.Message -like '*Договоры*' } |
Select-Object TimeCreated, MessageКак вернуть файл
- Свойства папки → «Предыдущие версии», если на диске включены теневые копии.
- Из резервной копии сервера.
Если нет ни того, ни другого — самое время настроить резервное копирование.
Частые вопросы
Можно ли узнать, кто удалил файл, если аудит не был включён? Нет. Windows записывает удаления в журнал только при включённом аудите файловой системы, поэтому задним числом автора не установить — остаётся восстановить файл из резервной или теневой копии.
Где смотреть результат аудита? В журнале безопасности Windows Server: события об удалении объектов появляются после включения политики аудита и настройки аудита на нужной папке.
Что делать, если резервных копий общей папки нет? Настроить их сразу: посмотрите резервное копирование для офиса или передайте задачу администратору — например, в рамках ИТ-аутсорсинга в Москве.