如何在system32目录中找到谁或什么删除了文件？

Question

我们有一台可以远程访问桌面的 Windows 2003 开发服务器（IIS 和 SQL Server），一些员工拥有管理员权限。

几周前，许多重要文件（dll、exe、msc 和其他东西）从 system32 目录中消失了。服务器几乎没有运行（很多错误！！！），我们目前正在设置另一个。

我假设有人这样做了，因为我用 Trend Micro 进行了病毒扫描，一切看起来都很好。

我怎样才能找到谁或什么对我们的服务器做了这件事？

Answer 1

赶上这样的东西，唯一的办法是让文件级别的审计已经到位。事后，你也查不出来。这种审计非常垃圾，几乎需要某种第三方日志聚合/分析引擎。