Windows 7 檔案存取稽核策略四大原則：最小權限、優先失敗、蜜罐誘捕、覆蓋檔案繼承權限

精準稽核，不淹沒在海量日誌中

一、最小存取作業原則

Win 7 將存取作業細分為修改權限、變更擁有者等 10 多種。管理員僅勾選必要作業（如「寫入資料」、「刪除」），即可產生最少但涵蓋安全需求的稽核記錄，避免全選導致日誌爆炸。

二、優先記錄失敗事件

針對機敏檔案，設定「失敗」稽核（如唯讀使用者嘗試寫入）。成功事件產生大量合法存取雜訊，僅在失敗事件不足以追查時才啟用成功稽核。事件檢視器可篩選「失敗」快速定位異常。

三、蜜罐策略誘捕非法存取

在共享資料夾放置假象機敏檔案（如「薪資總表.xlsx」），啟用稽核。任何嘗試存取者即被記錄，可識別內部威脅（好奇存取、惡意竊取、僵屍機器行為）。雖難作法律證據，但能作為風險預警與後續監控依據。

四、檔案覆蓋會繼承原稽核策略（潛在風險）

實測發現：檔案 A 設有稽核策略，以同名無策略檔案 B 覆蓋 A 後，新檔案繼承了 A 的稽核策略。這意味著惡意使用者可用「無策略檔案覆蓋機敏檔案」保留稽核，或反向利用此特性繞過預期。微軟未公開說明此為特性或缺陷，管理員需留意。

善用這四原則，能建立「精準、低噪、可預警」的檔案存取稽核體系。