Windows Server 2008 稽核原則完整部署指南：啟用、配置、日誌分析與效能平衡

Windows Server 2008 內建強大的稽核功能，可追蹤九大類安全相關事件。正確配置稽核原則能在無協力廠商工具情況下實現安全監控、故障診斷與合規稽核，但需權衡效能與儲存成本。

九大稽核原則項目與適用場景

啟用與配置步驟

1. 開啟本機安全性原則：
   「開始」→「系統管理工具」→「本機安全性原則」 (或 secpol.msc)
2. 導航至稽核原則：
   「安全性設定」→「本機原則」→「稽核原則」
3. 配置目標原則：
   雙擊項目 (如「稽核登入事件」) → 勾選「成功」/「失敗」→「確定」

進階配置：物件存取稽核 (SACL 設定)

1. 檔案/資料夾右鍵 →「內容」→「安全性」→「進階」→「稽核」標籤
2. 「新增」→ 選擇主體 (如「Everyone」) → 類型：「失敗」 (或「成功」)
3. 套用至：「此資料夾、子資料夾和檔案」
4. 勾選需稽核的權限：
   ☐ 列出資料夾/讀取資料
   ☐ 建立檔案/寫入資料
   ☐ 刪除子資料夾和檔案
   ☐ 變更權限/取得擁有權

日誌查看與分析

1. 開啟事件檢視器：
   「伺服器管理員」→「診斷」→「事件檢視器」→「Windows 記錄」→「安全性」
2. 關鍵事件 ID 速查：

   4624  成功登入 (類型 2=互動式, 3=網路, 4=批次, 5=服務, 10=遠端互動)
   4625  登入失敗 (子狀態碼區分原因: 0xC000006A=密碼錯誤, 0xC0000064=帳戶不存在)
   4634  登出
   4672  指派特殊權限登入 (管理員等)
   4660/4663  物件存取/刪除 (需 SACL)
   4719  系統稽核原則變更
   4720/4722/4723/4724/4725/4726  使用者建立/啟用/變更密碼/刪除/停用
   1102  稽核記錄被清除
   

3. 篩選與匯出：
   右鍵「安全性」→「篩選目前記錄」→ 事件 ID/來源/層級/關鍵字
   右鍵事件 →「另存為」→ .evtx 格式離線分析

效能與儲存最佳化

常見誤區與避坑指南

• ❌ 全啟用「成功/失敗」 → 事件暴增、磁碟 IO 瓶頸、分析困難 → ✅ 按需啟用
• ❌ 啟用物件存取卻未設 SACL → 完全不產生事件 → ✅ 雙重配置 (原則+SACL)
• ❌ 忽略「稽核系統事件」 → 錯過關鍵重啟/時間變更/日誌清除 → ✅ 必啟用
• ❌ 無集中日誌 → 單機日誌易被攻擊者清除 → ✅ 部署 WEF/SIEM

結語

Windows Server 2008 稽核系統是企業級安全可見性的基石。遵循「最小必要啟用、物件層級精準配置、集中收集離線分析」原則，可在可接受效能代價下構建強大的安全監控基線。