Auditoria de recursos compartidos

Buenas, llevo unos días tratando de resolver un par de dudas.

Mi intención es auditar de forma efectiva la eliminación y creación de ficheros y directorios en un recurso compartido que se encuentra en un directorio activo. Quiero ver lo que los clientes hacen en este recurso compartido. Para ello habilité la auditoría de recursos compartidos detallado en las GPO. En teoría lo siguiente que debería realizar es asignar la audtoría que deseo en las propiedades de mi recurso compartido, sin embargo si voy al visor de sucesos ya me aparecen registros en la sección seguridad sin activar la auditoría sobre el directorio. ¿Estoy haciendo algo mal?

Por otro lado me gustaría mandar la información de determinados registros a una base de datos (MySQL o SQL server). Se que para hacer esto puedo asignar una tarea programada a determinado evento y desde ahí ejecutar un script vbs que mande la información del registro a la base de datos, pero no se que tendría que poner en el script. Un saludo y gracias de antemano.