Como posso descobrir qual processo excluiu um arquivo em um ambiente Windows?

Question

Eu uso o AllwaySync para sincronizar um grande número de arquivos de música em duas unidades externas conectadas a máquinas Windows. Recentemente, vários milhares de arquivos foram excluídos de uma das unidades e gostaria de determinar a causa disso. Existe uma maneira de determinar qual processo foi responsável pelas exclusões? Eu sei a data e a hora aproximadas do evento, observando o log de alto nível do AllwaySync.

    

Answer 1

Você não pode fazer isso post-mortem, desculpe.

Você pode capturar e registrar futuras exclusões. A palavra-chave é "audit" e o Windows possui suporte abrangente para auditar todos os tipos de eventos, incluindo exclusões de arquivos. Há mais de uma maneira de permitir isso, veja por exemplo aqui .

Como alternativa, você pode usar o ProcMon da Microsoft para monitorar toda a atividade do sistema em tempo real e defina seu filtro para mostrar somente exclusões de arquivos.