善用 Win Server 2008 稽核功能追蹤操作保障伺服器安全

無專業安全工具時，可依靠 Win Server 2008 內建稽核功能追蹤監視所有操作，快速排查故障與入侵。

啟用與設定稽核原則

1. 以超級權限登入 → 開始 → 設定 → 控制台 → 系統與維護 → 管理工具 → 本地安全性原則。
2. 左側展開：安全性設定 → 本地原則 → 稽核原則，共九類：
   • 稽核程序追蹤 (後台程式啟動/關閉、控制代碼操作)
   • 稽核帳戶管理 (帳號增刪改)
   • 稽核特權使用 (非登入/登出的特權操作)
   • 稽核登入事件 (成功/失敗登入)
   ...等
3. 雙擊需啟用的原則 → 勾選「成功」/「失敗」 → 確定。依需求啟用，勿全開，避免資源耗盡與日誌暴增。

查看稽核日誌

1. 伺服器管理員 → 診斷 → 事件檢視器 → Windows 日誌 → 安全性/系統/應用程式/安裝/轉送事件。
2. 雙擊事件查看詳細資訊 (來源/事件 ID/內容)。
3. 重要事件可「另存為」備份，定期「清除日誌」釋放空間，或用「篩選目前日誌」快速尋找。

稽核會佔用資源降低效能，資源有限時僅針對關鍵操作 (如登入、特權使用) 啟用。