IT大牛学堂文件服务器"谁删了我的文件"：审计与溯源
定界思路
要追溯文件删除责任人，需提前开启对象访问审计或文件服务器资源管理器（FSRM）文件筛选，否则事后无据可查。
解决步骤
- 文件服务器本地安全策略开启"审核对象访问"；
- 对目标文件夹的高级→审核，添加对应用户/组的"删除"审核项；
- 事件查看器安全日志筛选 4663/4656 事件；
- 结合 4624 登录事件锁定"谁 + 哪台机器 + 何时"；
- 用 FSRM 文件筛选做主动告警，防患于未然。
复盘 / 避坑
审计要"提前开"才有用。事后没日志，再强的技术也还原不了真相。