Win7 如何查詢系統操作記錄？群組原則啟用「稽核物件存取」

想知道電腦被誰操作、執行了什麼程式、存取了哪些檔案？啟用群組原則「稽核物件存取」後，安全性事件記錄將記錄詳細操作軌跡。

啟用步驟

1. 按 Win+R → gpedit.msc 開啟群組原則編輯器。
2. 依序展開：電腦設定 → Windows 設定 → 安全性設定 → 本機原則 → 稽核原則 → 雙擊 「稽核物件存取」。

3. 勾選 「成功」 (亦可勾選「失敗」記錄未授權嘗試) → 確定。

4. 需在欲監控的資料夾/檔案/登錄機碼「內容」→「安全性」→「進階」→「稽核」分頁，為「Everyone」或特定使用者新增「完全控制」稽核項目，系統才會記錄對該物件的存取事件。

查看記錄：Win+R → eventvwr.msc → 「Windows 記錄」→「安全性」→ 事件 ID 4663 (嘗試存取物件)、4656 (開啟物件控制代碼)。

注意： 稽核會產生大量日誌，建議僅對關鍵資料/資料夾啟用，並定期清理/匯出日誌。