У меня есть общая папка (папка A), и наши пользователи должны копировать некоторые файлы каждый день, а после окончания работы они должны удалять файлы, и когда они удаляют файлы, должна быть запись (из соображений безопасности).
Я приказываю вести запись процессов удаления файлов. Я включаю аудит из локальных политик безопасности и в папке A, свойства/безопасность/дополнительно/аудит добавляю запись об успешном завершении для всех. Если кто-то удаляет существующий файл, запускается событие id:4663, и я могу записать.
Но это работает только для существующих файлов и файлов, созданных внутри папки. Если пользователь удаляет скопированный файл из другого места, событие id: 4663 не срабатывает. Кто-нибудь может мне сказать, я что-то делаю не так? Или, может быть, есть другой способ?