¿Cómo se puede determinar qué usuario eliminó un archivo compartido en el servidor OS X Mountain Lion?

Sí: de forma predeterminada, las eliminaciones de archivos se registran junto con muchos otros eventos importantes para compartir archivos.

Instale la aplicación del servidor en cualquier Mac (o inicie sesión en el servidor para ejecutar la aplicación allí o inspeccione el archivo de registro localmente).

Seleccione registros a la izquierda, seleccione Registro de acceso de AFP en la parte inferior y busque la palabra Eliminar . Una vez que haya encontrado la eliminación del archivo que le interesa, anote la dirección IP y la marca de tiempo. Luego busque hacia atrás en este registro para ver qué usuario inició sesión usando esa IP inmediatamente antes de ese evento de eliminación.

También puede buscar ayuda profesional si desea un análisis forense en lugar de realizarlo usted mismo. Cualquier persona que pueda ver los registros puede cambiarlos y la forma en que utiliza este conocimiento es más un problema social que un problema técnico. Debería haber Time Machine o mejores copias de seguridad de los recursos compartidos del servidor, por lo que debería poder determinar de forma trivial las veces que los archivos se eliminan allí también con herramientas como Backup Loupe y, con suerte, encontrará que alguien fue descuidado en lugar de deliberado. De cualquier manera, el servidor OS X tiene suficiente registro para determinar una rareza de acceso al archivo si provino de un usuario que se conectó al recurso compartido en lugar de iniciar sesión directamente en el servidor y eliminar el archivo. Ese evento necesitaría una auditoría y un registro adicionales, pero empezaría por analizar el registro de acceso de AFP, ya que normalmente así se accede a los archivos desde un servidor.

No soy experto en informática, pero he aprendido un par de cosas que me encantaría compartir en caso de que ayuden a alguien en el futuro.

Si está utilizando un servidor Mac, debería probar el uso compartido de la pantalla desde su computadora al servidor, abrir el programa llamado "Consola" y verificar los registros entre la última vez que vio el archivo en el servidor (debe conocer el día y la HORA) y la primera vez que notó que falta el archivo. En "Consola" puede ver todas las acciones del usuario y lo que han hecho en el servidor según la dirección IP individual de cada computadora.

Tendrás que ir a la computadora de todos para averiguar sus direcciones IP, si estás usando Mac, abre "Preferencias del sistema" y haz clic en "Red" para ver la dirección IP del usuario de Mac. No estoy seguro de cómo encontrar direcciones IP en las computadoras PC con Windows.

Se necesita un poco de investigación, pero realmente necesitas conocer los marcos de tiempo para ayudar a reducir la búsqueda en los registros, ya que literalmente puede haber millones de tareas registradas en la Consola. Además, solo tienes un cierto tiempo antes. El historial de la consola ya no se ve en los registros, por lo que es importante actuar con rapidez y guardar una copia de los registros para tener pruebas de posibles daños.

Es mejor traer a un experto en TI (alguien de confianza) para que lo ayude a analizar los datos y para respaldar su reclamo de sabotaje a su supervisor.

¡Buena suerte, gente!