Perfmonnal szerintem elég könnyű felállitani egy baselinet és utána alertet rakni, ha egy küszöböt átlépi egy adott share-en a mért érték.
Szóva jöhet az SMB Server Shares\write requesest/sec, file opened/sec és még pár.
Ezeket share-enként finomhangolni is lehet, vagy lehet az SMB server sessions alól is ugyanezeket a countereket figyelni és akkor csak egy adott kliens session-jéhez viszonyitva nézi ezeket a számokat, az talán biztonságosabb, mert nem fog fals alertet generálni, ha véletlen egyszerre 10 user indit el valami sok file-os másolást a share-re.