윈도우 파일 삭제 로그 기록을 남기는 방법 및 로그 확인 방법(Windows 10,11)

윈도우 컴퓨터를 사용할 때 불 필요한 파일을 삭제하는 경우가 참 많습니다.

파일을 삭제하면 보통 휴지통으로 들어가지만 완전 삭제를 통해 파일을 영구히 삭제하는 경우도 많이 있습니다.

컴퓨터를 여러 사람과 공용으로 사용하거나 업무용으로 사용하는 경우 특정 폴더나 파일이 삭제되어 곤란한 경우가 발생할 때가 있습니다.
누가, 언제 삭제를 했는지 알기 어려울 때가 많습니다. 심지어 무슨 문서 파일이 삭제되었는지도 알 수 없는 경우가 생기기도 하는데 이럴 때 정말 난처하게 됩니다.

최소한 어떤 파일(문서)이 삭제되었는지 정도는 알아야 복구를 시도해 보거나 아니면 새로 문서 파일을 만들어 볼 수 있는데 말이죠?

파일이 삭제 될 때 자동으로 삭제되는 로그를 기록으로 남긴다면 참 편리하리라 생각됩니다.

이번 글에서는 윈도우 파일 삭제 로그 기록을 남기는 방법 및 로그 확인 방법(Windows 10,11)에 대해 알아보겠습니다.

삭제 로그를 기록하기 위한 로컬 그룹 정책 설정과 폴더 속성 설정에 대해 알아보고 이벤트 뷰어를 통해 로그를 확인하는 단계로 설명해 보겠습니다.

로컬 그룹 정책의 개체 액세스 감사 정책 설정

▶ 첫 번째 단계로 로컬 그룹 정책에서 개체 액세스 감사 정책을 설정해 줍니다.

1. 로컬 그룹 정책 편집기를 열기 위해 실행 창에서 gpedit.msc 명령어를 넣고 확인 또는 엔터를 누릅니다.

2. 로컬 그룹 정책 편집기 화면에서 로컬 컴퓨터 정책 -> 컴퓨터 구성 -> Windows 설정 -> 보안 설정 -> 로컬 정책 -> 감사 정책을 선택합니다.

3. 감사 정책 중에서 개체 액세스 감사를 선택하고 마우스 더블 클릭으로 속성 창을 엽니다.

4. 개체 액세스 감사 속성에 로컬 보안 설정 탭의 보안 설정에서 ‘성공‘과 ‘실패‘를 선택하고 확인을 클릭해서 속성을 저장합니다.

5. 여기까지 해 주면 로컬 그룹 정책은 끝납니다. 이제 로컬 그룹 정책 창은 닫아주면 됩니다.

삭제 로그를 남기고 싶은 폴더에 대한 보안(감사) 속성 설정

▶ 두 번째 단계로 파일을 삭제할 때 로그 기록을 남길 폴더의 속성에서 감사 정책을 설정해 보겠습니다.

1. 감사 정책을 설정할 폴더를 선택하고 오른쪽 마우스를 클릭해서 속성을 선택해서 속성 창을 엽니다.

2. 폴더 속성 창에서 보안 탭을 선택하고, 아래의 고급을 클릭해 줍니다.

3. 폴더의 고급 보안 설정 창에서 감사 탭을 선택합니다. 감사 정책을 추가하기 위해 계속을 클릭해 줍니다.

4. 감사 항목을 추가하기 위해 추가 버튼을 클릭해 줍니다.

5. 감사 항목 추가 화면에서 먼저 보안 주체 선택을 해 줍니다.

6. 보안 주체는 모든 사용자를 대상으로 해 주기 위해 Everyone을 입력하고 이름 확인을 클릭하거나 고급을 선택해서 Everyone을 검색해서 추가할 수 있습니다.

7. 확인을 클릭해서 보안 주체 사용자 또는 그룹 선택을 완료합니다.

8. 유형은 “성공“으로 하고, 적용 대상은 “이 폴더, 하위 폴더 및 파일“을 선택해 줍니다.
즉, 이 폴더 및 하위 폴더의 모든 파일에 대해 삭제가 이루어지면 감사 로그를 이벤트로 기록하게 됩니다.

9. 삭제 권한을 체크하기 위해 고급 권한 표시를 선택하고, 삭제에 대한 이벤트만 로그로 남기기 위해 삭제만 체크 표시를 해 줍니다.

10. 확인을 클릭해서 감사 항목 추가를 완료합니다.

11. 아래 화면처럼 감사 항목이 추가 된 것을 확인할 수 있습니다.

12. 이상으로 삭제에 대한 로그 기록을 남길 폴더에 대한 보안(감사) 속성 설정이 마무리 되었습니다.

이벤트 뷰어를 통한 삭제 로그 확인 방법

▶ 앞 단락에서 로컬 그룹 정책, 폴더의 속성에서 감사 항목을 추가했다면 이제 파일을 삭제했을 때 발생된 로그 이벤트를 확인하는 방법에 대해 알아보겠습니다.

1. 삭제 로그를 보기 위해서는 이벤트 뷰어를 열어야 합니다. 실행 창에서 eventvwr 명령어를 넣고 확인 또는 엔터를 누릅니다.

2. 이벤트 뷰어 화면에서 Windows 로그 -> 보안을 선택합니다.

3. 파일 및 폴더 삭제에 대한 이벤트 ID는 “4663” 입니다. 이벤트 ID로 정렬해서 “4663”을 찾아서 확인하면 됩니다.

4. 이벤트를 마우스 더블 클릭하면 이벤트 속성 창으로 확인할 수도 있습니다.

5. 로그된 날짜를 통해 삭제 된 날짜와 시간을 확인할 수 있고, 개체 이름을 통해 삭제된 파일의 이름을 확인할 수 있습니다.

마무리

로그 이벤트는 확인을 위한 용도 사용됩니다. 로그 이벤트를 통해 삭제된 파일을 다시 복원하는 등의 작업은 할 수 없습니다.

로그 이벤트를 통해 최소한 언제 파일 삭제되었고, 삭제된 파일 이름이 무엇인지 정도 확인이 가능합니다.

♥ 이 글이 도움이 되었기를 바랍니다. ^-^
댓글로 흔적을 남겨 주세요.