Netzlaufwerk von Unbekanntem User gelöscht - Identifizierung möglich?

Hallo CBler,

wir verwenden bei einem Kunden einen MS Server 2012, welcher als Fileserver fungiert. An diesem Fileserver sind Festplatten (via iSCSI) eingebunden, welche über die Windows Freigabe bei Usern als Netzlaufwerk eingebunden sind.

Auf dem Server exisitieren viele Netzlaufwerke, worauf nur Benutzer mit entsprechender Berechtigung zugreifen können, jedoch auch einige worauf jeder zugreifen kann. Quasi zum netzwerkübergreifenden gemeinsamen Ordner.

Alle Computer sind in einer Windows Domäne eingebunden und jeder Benutzer meldet sich mit seinem Konto an.

Nun hat ein unbekannter Nutzer den gesamten Inhalt eines Netzlaufwerkes, worauf jeder zugreifen konnte, gelöscht. Soweit nicht weiter tragisch, jedoch sind wir daran interessiert den Nutzer zu identifizieren um ein neues Rechtekonzept zu entwickeln, damit soetwas nicht wieder vorkommt.

Die genau Uhrzeit und das Datum, an dem gelöscht wurde ist bekannt.

Besteht die Möglichkeit den bisher noch unbekannten Nutzer über zu identifizieren?


Ich bedanke mich im Voraus!

Vielleicht hat ja jemand aus den eigenen Reihen das ausversehen gelöscht. Wollt ihr jemand aus den eigenen Reihen an den Galgen hängen ?

Shit happens. Die neuen Policys werden bestimmt strenger, wobei ich Dir aber nicht helfen kann. Das müsste ein Admin Dir erläutern.

Um die Uhrzeit ist die IT noch gar nicht da ;D

Es geht nicht darum jemanden an den Galgen zu hängen. Es geht eher darum, dem Kunden auch zeigen zu können, dass der Dienstleister keine Schuld hat, sondern ein Mitarbeiter aus Abteilung X. Diese Abteilung X würde dann bspw. nur noch Leserechte für zukünftige Policies bekommen.

Hat sonst jemand eine Idee?

Im Nachhinein geht das nicht mehr. Du könntest Auditing einschalten, allerdings muß man damit höllisch aufpassen, da das den Server ordentlich belastet und den Security Event Log extrem aufbläht.

Bei uns wird soetwas schon durch dem Betriebsrat verhindert. Wenn so etwas passiert -> Rücksicherug aus den Shadow Copies - das kann ein User sogar selbst machen.