Piccolo passo avanti con la tua idea.. vedo gli eventi che tu dici.. la query che ho usato è questa, "copiata" dal sito che mi hai indicato, che se ho capito bene dovrebbe servire per notare cancellazioni.
<QueryList>
<Query Id="0" Path="Security">
<Select Path="Security">*[System[Provider[@Name='Microsoft-Windows-Security-Auditing'] and (EventID=4663)]] and *[EventData[Data[@Name='AccessMask'] and (Data='0x2')]] and *[EventData[Data[@Name='SubjectUserName'] and (Data='Administrator')]] and *[EventData[Data[@Name='ObjectName'] and (Data='C:\DOC')]]</Select>
</Query>
</QueryList>
Ho cambiato opportunamente utente e folder, ma nisba.. non emerge nulla...
Però credo di aver capito.. Sul sito si fa di esempio la "cancellazione", peccato che l'accessmask che tu porti in risalto inserita in query è 0x2 che sta per file write / file add quindi non è cancellazione!!!
Sempre nel medesimo url però c'è un link per le varie mascherature:
https://msdn.microsoft.com/en-us/library/windows/desktop/aa822867(v=vs.85).aspx
Dovrei quindi usare 0x10000, almeno a logica, ma anche così non va...
Mi piacerebbe fare una "query" per capire a partire da un oggetto, direi il filename, ritrovare chi ha fatto cosa... Credo
che ci sto girando intorno..
Per la questione logon logoff.. ho scoperto di avere un buco di memoria.. hai un link che spiega i vari tipi di logon logoff in base
agli eventid? (interattivo effettivo, remotedesktop, come servizio....)
Faber
