sebastiana
Goto Top

Herausfinden welche Anwendung Dateien löscht

Hallo Community,

scheinbar werden in einem lokalen Windows 7-Benutzerverzeichnis von einer Anwendung immer wieder Dateien gelöscht. Ein anderes Programm, welches die Dateien dort temporär abgelegt hat und die Dateien benötigt stürzt dann ab.
Nun möchte ich überwachen, welche Anwendung das ist. Leider finde ich nur Tools die ein Verzeichnis überwachen und mir dann anzeigen, dass eine Datei gelöscht würde, leider aber nicht durch wen bzw. durch welche Anwendung.
Mit den Windows eigenen Überwachungsrichtlinien komme ich leider auch nicht wirklich weiter, da diese wohl nur überwachen welcher Windows Benutzer die Dateien löscht.

Hat jemand eine Idee welches Tool diese Funktion bietet? Geht die Überwachung vielleicht doch mit Boardmittlen?

Gruß Sebastian

Content-ID: 182283

Url: https://administrator.de/contentid/182283

Ausgedruckt am: 05.11.2024 um 08:11 Uhr

DerWoWusste
DerWoWusste 20.03.2012 um 12:46:26 Uhr
Goto Top
Moin.

Nein, mit Bordmitteln geht das nicht und ich habe noch von keinen externen Programmen gehört, die das können - schon gegoogelt?
sebastiana
sebastiana 20.03.2012 um 13:02:19 Uhr
Goto Top
Ja schon gegoogelt und auch ein paar Tools installiert, das Fazit habe ich oben schon geschrieben, die Tools loggen nicht wer die Dateien löscht, nur dass sie gelöscht werden.
5t8d1e
5t8d1e 20.03.2012 um 13:23:56 Uhr
Goto Top
Hallo

versuchs mal mit den Process Monitor aus der Sysinternal Suite, damit solltes du zumindest sehen welcher Process darauf zugreift.

grüße
Torsten
DerWoWusste
DerWoWusste 20.03.2012 um 13:38:11 Uhr
Goto Top
Klar, das geht, aber den den ganzen Tag mitlaufen lassen? Zieht Leistung ohne Ende. Aber funktioniert immerhin.
sebastiana
sebastiana 20.03.2012 um 13:56:56 Uhr
Goto Top
Das Problem ist, dass der Fehler nur einmal pro Woche auftritt. Ich müsste den Process Monitor dann schon länger laufen lassen. Ich teste das gerade, aber nach kurzer Zeit wird das System schon lahm.

Ich kann schön einen Filter setzten auf das Verzeichnis, dass ich beobachten möchten. Leider wird über den Filter hinaus aber alles geloggt. Bei Wireshark hat man z.B. die Möglichkeit von vornerein einzustellen, was geloggt wird. Irgendwie finde ich solch eine Option beim Process Explorer aber nicht. Kann es sein, dass es die gar nicht gibt?
pieh-ejdsch
pieh-ejdsch 20.03.2012 um 13:59:59 Uhr
Goto Top
moin,

scheinbar werden in einem lokalen Windows 7-Benutzerverzeichnis von einer Anwendung immer wieder Dateien gelöscht.
[Edit]hach- zu schnell überflogenBist Du Dir da sicher?
Vllt rödelt nur ein Virenscanner an den Daten herum.
[/Edit]
Lässt sich für die Software ein anderer Tempörärer Ordner nutzen?

Gruß Phil
sebastiana
sebastiana 20.03.2012 um 14:07:39 Uhr
Goto Top
Zitat von @pieh-ejdsch:
moin,

> scheinbar werden in einem lokalen Windows 7-Benutzerverzeichnis von einer Anwendung immer wieder Dateien gelöscht.
Bist Du Dir da sicher?
Vllt rödelt nur ein Virenscanner an den Daten herum.
Lässt sich für die Software ein anderer Tempörärer Ordner nutzen?

Gruß Phil

Ist zumindest die Aussager des Programm-Herstellers. Ich habe da schon meine Zweifel.
Auf jeden Fall nutzt die Anwendung ein festes Temp-Verzeichnis und die Anwendung schmiert mit der Meldung ab, dass eine Datei in diesem Verzeichnis fehlt. Diese Datei ist immer wieder mal eine andere.
Laut dem Hersteller ist entweder das Benutzerprofil defekt oder es ist eine Anwendung auf dem Rechner installier, die diese Temp-Verzeichnisse aufräumt.

Somit dachte ich mir, dass ich mal nachschaue, ob es nicht die Anwendung selbst ist, die diese Dateien löscht, oder ob da wirklich noch eine andere Anwedung dazuwischen funkt.
DerWoWusste
DerWoWusste 20.03.2012 um 14:37:40 Uhr
Goto Top
Kann es sein, dass es die gar nicht gibt?
Doch. Menü Filter - "drop filtered events"
sebastiana
sebastiana 20.03.2012 um 15:14:00 Uhr
Goto Top
Zitat von @DerWoWusste:
> Kann es sein, dass es die gar nicht gibt?
Doch. Menü Filter - "drop filtered events"

Vielen Dank, habe ich übersehen, so teste ich nun mal.
5t8d1e
5t8d1e 20.03.2012 um 15:45:08 Uhr
Goto Top
Ich bins wieder,

als ganz hässliche Lösung wäre evtl. ein cmd skript in der du das temp-Verzeichnis umbiegst

set temp=c:\tmp
set tmp=c:\tmp
start deinProgramm

grüße
Torsten