某报社的运维，正在鼓捣监控系统；突然单位的企鹅群叫了，说做版用的共享文件夹被清空了，这还得了，马上开启备份恢复，同时开始追踪此次文件丢失的原因。
因为上次出过这样的事故，提前在服务器上安装了一个共享文件监控工具，开始查看文件存取记录，发现一个异常行为：
172.16.13.60这个地址在短短的时间内，大量删除文件，值得怀疑；下一步开始定位计算机：
在单位的核心交换机上使用display arp来判断该IP地址所在的交换机端口
然后逐渐缩小范围，并结合平面图，最终定位了事故计算机，剩下的就是汇报领导处置了。
本文出自 “自留地” 博客，请务必保留此出处http://2082292.blog.51cto.com/2072292/1964326
原文：http://2082292.blog.51cto.com/2072292/1964326