Verz. gelöscht auf einen NT-Server, wie finde ich den Täter am schnellsten

hallo zusammen,

hab einen nt-server (wird zur zeit migriert auf 2003)
auf den alten nt-server sind jede menge shares
ist mit der zeit so gewachsen (server läuft schon ca. 10 jahre )
auf den server sind täglich mehrere zugriffe auf den shares und auf den server
nun meine frage es wurde ein komplettes verz. gelöscht wie finde ich den täter am schnellsten raus
hab schon mal in eventview gesucht aber bei so vielen zugriffen was der server hat ist die suche sehr aufwendig und zeit raubend

und welche admin hat schon zeit

ich hoffe ihr könnt mir da den ein oder anderen tip geben.

solong