Шаблон массового удаления файлов и папок в Windows

Предупреждение: не уверен, что этот вопрос подходит для этого SE, но мне нужен серьезный совет, который я не могу получить где-либо еще

За выходные из нашей DFS было удалено огромное количество файлов и папок. Я не могу найти способа отследить, была ли это программа или кто-то их удалил. Я наблюдаю несколько вещей:

1. В корневом пространстве имен из папок, которые пережили массовое удаление, все содержимое оставалось нетронутым, за исключением первой подпапки, упорядоченной по имени, в которой нетронутыми остались только частичные файлы. - это наводит меня на мысль, что файлы были удалены из корневых папок в названной последовательности.
2. В корневом пространстве имен часть содержимого всех папок удалена. - это наводит на мысль, что корневые папки удалялись параллельно.

Создает ли нормальный выбор все папки и удаление такую ​​последовательность удаления? Есть ли способ отследить, кто или что его удалил? Я проверил журналы событий аудита, но ничего не нашел об удалении файлов и папок.