Windows事件日志已删除文件信息

Question

如何在Windows中获取已删除文件的信息，即用户通过共享网络删除了文件/文件夹？

Window是否在其中记录了所有此类信息。 如果是，那么在哪里？

我们可以使用c＃以编程方式跟踪此类详细信息吗？

Answer 1

不，在文件删除活动发生后，通常没有证据。 除非您有执行日志记录的应用程序，否则不会进行任何日志记录。

如果需要跟踪文件删除，可以使用FileSystemWatcher类进行。 它只会告诉你什么改变但是没有谁做的修改，并且只记录在本地文件系统的变化。 对于网络共享，这意味着您必须在承载该共享的服务器上运行。

为了跟踪谁在网络共享上进行了删除，我想到的唯一选择是使用网络数据包检查。 这是非常昂贵的资源，并且涉及很多资源，因为这将需要您手动重新组装和解释SMB消息。 不简单。 如果您真的想尝试此操作，则WinPcap （通过SharpPcap或PcapDotNet类的SharpPcap ）将使您能够访问数据包，并在SMB协议上进行了大量阅读。

只是要注意，这些都是很深的水域。