Win7/Server 2008 本機群組原則與稽核原則深度解析：53 種事件子類別精細控制

前言：為何需要進階稽核原則？

Win7/Server 2008 引入進階稽核原則，將傳統 9 大類別細分為 53 個成功/失敗事件子類別，讓管理員能精準鎖定需記錄的安全事件，避免日誌暴增導致分析困難。

支援版本

• 完整支援： 專業版、企業版、旗艦版、所有 Server 2008 版本。
• 不支援： 家用入門版、家用進階版、Starter 版（無法展開子類別），但理解概念仍有助安全架構設計。

啟用方式

1. Win+R → gpedit.msc。
2. 展開：電腦設定 → Windows 設定 → 安全性設定 → 進階稽核原則設定 → 稽核原則。
3. 右側顯示 10 大類別（新增「全域物件存取」），每類含多個子類別。

核心類別與子類別範例

設定建議：最小權限原則 + 失敗優先

1. 僅啟用必要子類別： 依資安法規、內控需求勾選，避免全開導致日誌每天數 GB。
2. 優先記錄失敗事件： 多數入侵嘗試表現為失敗登入、存取被拒；成功事件僅在高價值資產啟用。
3. 善用事件檢視器篩選： 依「層級=失敗」、「事件來源=Security-Auditing」快速定位異常。
4. 配置日誌大小與保留： 安全性日誌建議 ≥ 128MB，覆寫模式設「依需求覆寫」，並匯出至 SIEM/集中日誌伺服器。

蜜罐策略：主動誘捕內部威脅

• 在共享資料夾放置假象機密檔（如 Salary_2024.xlsx、Customer_DB.bak）。
• 對該檔啟用「檔案系統」→「失敗/成功」稽核。
• 定期審視存取日誌，發現非授權帳號嘗試讀取/修改/刪除，即可鎖定可疑內部人員或遭植入惡意碼的主機。
• 注意：蜜罐記錄通常不具法律證據效力，僅作風險研判依據。

檔案覆寫不影響稽核設定的特殊行為

實測發現：對已設定稽核的檔案（如 captured.jpg）以同名檔案覆寫，新檔案會繼承原稽核設定。這與「檔案物件身分由物件 ID 決定，非檔名」有關。管理員需留意：部署稽核後若有同名檔案部署/覆寫流程，稽核設定會自動延續，屬設計預期行為而非漏洞。

延伸閱讀

• TechNet：進階稽核原則設定逐步指南
• TechNet：稽核原則參考

精細稽核是資安可見性的基石，善用 53 子類別，讓日誌說人話。