W sytuacji, w której podejrzewamy, że w naszym komputerze zostały skasowane pliki, warto uruchomić funkcję monitorowania plików oraz katalogów wskazanych przez użytkownika, która umożliwia rejestr, kto je skasował lub zmodyfikował.
Warunkiem do przeprowadzenia monitorowania jest system plików NTFS. Gdy posiadamy na dysku partycje FAT, możemy je skonwertować poleceniem convert /fs:ntfs.
W celu konfiguracji zasady monitorowania należy:
1.Z menu Panel sterowania/Narzędzia administracyjne/Zasady zabezpieczeń lokalnych wybieramy węzeł Zasady lokalne.
2. Wybieramy gałąź Zasady inspekcji , po czym w prawej części okna klikamy dwukrotnie polecenie Przeprowadź inspekcję dostępu do obiektów.
3. W nowym oknie wybieramy Sukces i Niepowodzenie. Zamykamy okno reguł zabezpieczeń lokalnych.
4. Wybieramy katalogi i pliki, które chcemy poddać kontroli : w Eksplorator Windows zaznaczamy pliki i katalogi, klikając na nie prawym przyciskiem myszy i wybierając z menu pozycję Właściwości.
5. W nowym oknie w karcie Zabezpieczenia wybieramy opcję Zaawansowane.
6. Wyświetli się okno, w którym wybieramy kartę Inspekcja.
7. Wybieramy polecenie Dodaj w celu ulokowania na liście użytkowników, których dostęp do zaznaczonych plików będzie rejestrowany. Opcja Wszyscy oznacza, że rejestrowani będą wszyscy użytkownicy.
8. Wyświetli się okno zawierające listę zdarzeń związanych z plikami i katalogami. Obok wszystkich opcji znajdują się dwa pola wyboru, pozwalające ustalić, czy dane zdarzenie będzie rejestrowane, gdy zakończy się sukcesem bądź niepowodzeniem. Zaznaczamy pola, które nas interesują ( zaznaczenie pozycji Pełna kontrola, sprawi, że będą rejestrowane wszystkie możliwe zdarzenia związane z określonym plikiem lub katalogiem).
