On Windows Server 2003, is there a way to see if and when a file was deleted?
Normalmente, esse tipo de pergunta pode ser respondido ao analisar seu histórico de backup. Se você tiver cópias de sombra ativadas e elas estiverem chegando longe o suficiente, elas poderão servir ao mesmo propósito.
Outro que isso, você pode obter alguma indicação sobre se algo foi alterado no conteúdo de um diretório, observando o tempo de modificação do diretório.
Se você suspeitar que foi uma alteração recente e nenhum outro meio está disponível para você, considere usar um utilitário de visualizador de diário NTFS (há até mesmo código aberto / livre como isto aqui ) para inspecionar o conteúdo do seu diário NTFS. Se a operação de exclusão ainda não fosse sobrescrita pelo quebra automática de diário, você a encontraria lá (embora não o nome do usuário para o contexto de segurança da operação de exclusão).
Enable auditing
Isso produzirá toneladas de registros que não são facilmente legíveis / pesquisáveis com o conjunto padrão de ferramentas fornecido com o Windows Server. Eu não recomendaria usá-lo, a menos que você tenha algum tipo de sistema de coleta / auditoria de log de eventos que ofereça o conjunto de recursos necessário.