核心原則：精準稽核，拒絕日誌爆炸
啟用「稽核物件存取」後，若對所有檔案、所有操作（讀取、寫入、刪除、權限變更、擁有者變更...）全記錄，安全性日誌會暴增，反而難以分析。以下四大策略助你建立高效稽核機制。
一、最小存取操作原則：只記錄必要動作
- Win7 將檔案操作細分為「讀取資料、寫入資料、附加資料、讀取擴充屬性、寫入擴充屬性、刪除、讀取權限、變更權限、取得擁有權」等 13 種權限。
- 依業務需求勾選：如只關心「刪除」與「變更權限」，僅啟用這兩項對應的稽核項目。
- 效果：日誌量大幅縮減，關鍵事件一目瞭然。
二、失敗操作優先：鎖定非法嘗試
- 每項操作分「成功/失敗」兩類。多數入侵、越權表現為失敗事件（存取被拒、權限不足）。
- 建議：預設只啟用「失敗」；若需追蹤合法用戶異常行為（如大量下載機密檔），再對特定資料夾/用戶啟用「成功」。
- 事件檢視器可篩選「層級=失敗」快速審閱。
三、蜜罐策略：主動誘捕內部威脅
- 在共享資料夾放置假象機密檔（
Payroll_2024.xlsx、SourceCode.zip）。
- 對該檔啟用稽核：「失敗」+「成功」（讀取/寫入/刪除/權限變更）。
- 定期審視日誌：發現非授權帳號嘗試存取 → 鎖定可疑人員/受感染主機。
- 用途：風險研判、提升監控等級、啟動應變流程。非法律證據。
四、檔案覆寫會繼承稽核設定（特殊行為）
實測：對已設定稽核的檔案 A.txt，以同名無稽核檔案覆寫，新 A.txt 會自動繼承原稽核設定。原因：NTFS 以檔案物件 ID（Object ID）識別物件，覆寫內容不變更物件 ID，故安全描述項（含 SACL）保留。管理員需知悉此特性，避免誤以為稽核失效。
操作步驟速查
- 群組原則：
gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 進階稽核原則 → 物件存取 → 稽核檔案系統 → 設定成功/失敗。
- 資料夾/檔案屬性 → 安全性 → 進階 → 稽核 → 新增 → 輸入用戶/群組 → 勾選欲稽核的權限（如刪除、變更權限）→ 確定。
- 事件檢視器 → Windows 記錄 → 安全性 → 篩選事件 ID 4656/4663（檔案存取）。
建議部署架構
- 核心資料伺服器：全域啟用「失敗」稽核，關鍵資料夾加啟用「成功」。
- 客戶端：僅啟用「失敗」，或透過群組原則集中部署。
- 日誌轉送：配置事件收集/轉送至 SIEM 或集中日誌伺服器，保留 ≥ 90 天。
稽核不是開越多越好，而是「對的物件、對的操作、對的時間」記錄，才能轉化為可執行的資安情報。
