Чтобы узнать как файл был открыт последний необходимо использовать аудит для файла и проверять содержимое журнала безопасности.
Для этого сделайте следующее.
1. Включите аудит для файлов и папок с помощью оснастки User Manager (Политики > Аудит > Audit This Events > File and Object Access). В Windows XP воспользуйтесь редактором групповой политики и отредактируйте локальную политику или другой объект групповой политики (Конфигурация компьютера > Параметры Windows > Параметры безопасности > Локальные политики > Политика аудита (Computer Configuration > Windows Settings > Security Settings > Local Policies > Audit Policy)).
2. Откройте программу Проводник (Windows Explorer).
3. Кликните правой кнопкой мыши на файле/папке и выберите команду Свойства (Properties).
4. Перескочите на вкладку Безопасность (Security).
5. Кликните на кнопке Дополнительно (Advanced).
6. Перескочите на вкладку Аудит (Audit).
7. Кликните на кнопке Добавить (Add).
8. Выберите запись Все (Everyone).
9. Кликните на кнопке OK.
10. Выберите действия, для которых необходимо использовать аудит, например List папка/read data.
11. Кликните на кнопке OK.
12. Кликните на кнопке OK во всех диалоговых окнах.
