Windows 7 檔案存取稽核支援精細操作類型（寫入、刪除、變更權限、取得擁有權等），制定策略四大原則：
僅針對必要操作（如「寫入/刪除」、「變更權限」、「取得擁有權」）啟用稽核，避免記錄「讀取/列出資料夾」等高頻操作導致日誌爆炸，實現「最少日誌、覆蓋安全需求」。
預設僅啟用「失敗」稽核：非授權存取嘗試（寫入唯讀檔、刪除無權限資料夾）會被記錄，合法存取不記錄。日誌量大幅降低。事件檢視器可篩選「失敗稽核」快速定位異常。必要時再啟用「成功」稽核特定高價值物件。
在共享資料夾建立偽裝機密檔（如「薪資表.xlsx」、「客戶名單.db」），啟用完整稽核。任何存取嘗試即暴露好奇/惡意內部人員。雖難作法律證據，但可作為風險預警：加強該用戶監控、檢查主機是否遭控制（肉雞）。
實測發現：以同名檔案覆蓋有稽核設定的檔案，新檔案會繼承原稽核 ACL（即使新檔案本身未設定）。這可能導致非預期稽核行為，或被惡意利用規避稽核。建議：覆蓋前手動移除目標檔案稽核項目，或使用「複製→刪除原檔→貼上」而非直接覆蓋。
稽核策略核心：精準針對高風險操作、優先失敗、善用蜜罐、警惕 ACL 繼承行為。配合事件檢視器自訂視圖/篩選，構建可維運的稽核體系。
