Win7 如何查看電腦使用記錄？開啟稽核原則追蹤開機/檔案存取

想知道電腦被誰用過、何時開機、存取了哪些檔案，需啟用「稽核原則」記錄安全事件，再透過「事件檢視器」查看。

啟用稽核原則步驟

1. Win+R → gpedit.msc 開啟「群組原則編輯器」（Win7 專業版/旗艦版/企業版支援，家庭版無此工具）。
2. 依序展開：
   電腦設定 → Windows 設定 → 安全性設定 → 本機原則 → 稽核原則 → 稽核物件存取。
3. 雙擊「稽核物件存取」→ 勾選 「成功」（或同時勾選「失敗」）→「確定」。

查看記錄方法

1. 右鍵「電腦」→「管理」→「事件檢視器」→「Windows 記錄」→「安全性」。
2. 事件 ID 關鍵對照：
   4624：成功登入（含開機登入）。
   4625：登入失敗。
   4634：登出。
   4663：物件存取（檔案/資料夾/登錄檔被讀取/寫入/刪除）。
   4688：新程序建立（程式啟動）。
3. 右鍵事件 →「篩選目前的記錄」可依事件 ID、時間、使用者篩選。

家庭版替代方案

• 登錄檔啟用：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa → 新增 DWORD AuditObjectAccess = 1（成功）、2（失敗）、3（全部），重啟生效。
• 第三方工具：LastActivityView (NirSoft)、Windows Log Viewer 等免費工具圖形化呈現開機/登入/檔案存取時間軸。

隱私提醒

啟用稽核會增加系統負擔與安全性日誌體積，建議定期清理或設定日誌最大值（預設 20MB 較小，可調大至 100-500MB）。