Comment déterminer quel utilisateur a supprimé un fichier partagé sur un serveur OS X Mountain Lion ?

Oui - par défaut, les suppressions de fichiers sont enregistrées avec de nombreux autres événements importants liés au partage de fichiers.

Installez l'application serveur sur n'importe quel Mac (ou connectez-vous au serveur pour y exécuter l'application ou inspecter le fichier journal localement).

Sélectionnez journaux à gauche, sélectionnez Journal des accès AFP en bas de la page et recherchez le mot Supprimer . Une fois que vous avez trouvé la suppression de fichier qui vous intéresse, notez l'adresse IP et l'horodatage. Ensuite, effectuez une recherche en arrière dans ce journal pour voir quel utilisateur s'est connecté en utilisant cette IP immédiatement avant cet événement de suppression.

Vous pouvez également demander l'aide d'un professionnel si vous souhaitez une analyse médico-légale plutôt que de la réaliser vous-même. Quiconque peut consulter les journaux peut les modifier et la façon dont vous utilisez ces connaissances est davantage un problème social qu'un problème technique. Il devrait y avoir des sauvegardes Time Machine ou plus performantes des partages du serveur, de sorte que vous devriez être en mesure de déterminer trivialement les moments où les fichiers sont supprimés là aussi avec des outils comme Backup Loupe et, avec un peu de chance, vous trouverez que quelqu'un a été négligent plutôt que délibéré. Quoi qu'il en soit, le serveur OS X dispose d'une journalisation suffisante pour déterminer une anomalie d'accès aux fichiers si elle provient d'un utilisateur qui s'est connecté au partage plutôt que de se connecter directement au serveur et de supprimer le fichier. Cet événement nécessiterait un audit et une journalisation supplémentaires, mais je commencerais par analyser le journal d'accès AFP puisque c'est normalement de cette manière que les fichiers sont accédés depuis un serveur.