Hola Sebastian
Lo primero que tienes que tener en cuenta es que solo se auditan los eventos que ocurren después de habilitar la auditoría, nunca los anteriores, por lo que no te servirá para averiguar quien borró un archivo antes, sino que te
permitirá saber lo ocurrido a partir de este momento.
Se debe activar en dos partes: primero tienes que editar las políticas locales del servidor (o hacerlo mediante GPO si quieres que afecte a más de un equipo) e irte a la rama Configuración de Equipo - Configuración de Windows
- Configuración de Seguridad - Directivas locales - Directiva de Auditoría, y en ella habilitar "Auditar el acceso a objetos", tanto los correctos como los erroneos.
El siguiente paso es irte al volumen del servidor que contiene los datos, determinar cual es la carpeta cuyo contenido (y subcarpetas) quieres auditar, y en ella editar sus propiedades, pestaña seguridad, botón opciones avanzadas, pestaña
auditoría, botón editar, botón agregar; añades entonces los usuarios o grupos cuyas acciones quieres auditar en esa rama de carpetas, y les marcas las casillas en aquellos eventos que les quieres auditar (en tu caso, eliminar carpetas
y archivos).
El resultado lo verás en el visor de sucesos, rama seguridad.
Saludos
José Antonio Quílez
Mi Blog
