loggare ip in win2k

[alcuoreramon]

Qualche mese fa con un attacco a IIS5 mi sono ritrovato un virus.
Ho rimesso tutto a posto ed ha patchato tutto.

ora mi ritrovo il server sfasciato un'altra volta. i log di IIS5 cancellati ed anche iquelli di SERV-U.
La sfiga ha voluto che quando è successo io ero lontano per cui non ho visto nemmeno gli avvisi che dicevano che alcuni servizi venivano attivati.

Nel registro eventi non ci capisco nulla. è pieno di errori ed avvertimenti ma non ci sono tracce di ip

come faccio a loggare il prossimo attacco visto che una volta rimesso tutto a posto mi ricapiterà?
Considerate che il server è in una lan molto grande e si connette ad internet solo attraverso un proxy.
grazie