Splunk — аудит удаления файлов

host=»HOSTNAME» EventCode=4659 «Маска доступа»=0x10080 | table _time, «ИД безопасности», «Имя объекта», «Операции доступа» | sort -_time