Windows Server 2008 稽核功能完整部署指南：從啟用到實戰入侵偵測

核心價值：零成本建立企業級入侵偵測基線

Windows Server 2008 內建稽核功能可追蹤系統關鍵操作，配合事件檢視器與工作排程器實現自動告警，無需額外購買 SIEM 系統即可建立基礎安全監控體系。注意：稽核會消耗系統資源與磁碟空間，建議僅針對高風險事件啟用。

一、稽核原則啟用與配置

1. 開啟本地安全性原則

執行 secpol.msc 或：「開始」→「系統管理工具」→「本地安全性原則」。

2. 九大稽核類別詳細說明

3. 實戰範例：偵測非法帳號建立

1. secpol.msc → 安全性設定 → 本地原則 → 稽核原則 →「稽核帳號管理」→ 勾選成功/失敗。
2. 開啟「伺服器管理員」→ 診斷 → 事件檢視器 → Windows 記錄 → 安全性。
3. 找到事件 ID 4720（使用者帳號建立）或 4722（帳號啟用）。
4. 右鍵事件 →「將工作附加到此事件」→ 建立基本工作：
   名稱：「非法帳號建立自動告警」
   動作：「顯示訊息」
   標題：「安全性警示：偵測到帳號建立」
   內容：「伺服器偵測到新帳號建立事件，請立即驗證合法性！」
5. 確保「工作排程器」服務啟動，測試建立測試帳號驗證彈窗告警。

二、事件檢視器進階操作

• 篩選目前記錄： 依事件 ID、來源、層級、關鍵字快速定位。
• 自訂檢視： 建立跨記錄檔的持續性查詢（如：所有帳號管理事件）。
• 事件另存為： 將關鍵證據匯出為 .evtx 供事後鑑識。
• 清除記錄： 定期歸檔後清理，避免記錄檔佔滿磁碟導致稽核停止。

三、資源影響與調優建議

• 記錄檔大小上限： 預設 20 MB，高頻環境建議調整至 100-500 MB（事件檢視器 → 安全性記錄 → 內容）。
• 僅稽核失敗： 大幅減少記錄量，仍能偵測暴力破解、未授權存取等攻擊。
• SACL 精準控制： 針對關鍵資料夾/登錄機碼設定 SACL，避免全盤稽核產生海量雜訊。
• 集中轉送： 透過事件收集轉送至中央記錄伺服器，減輕本機 I/O 壓力並便於關聯分析。