在檔案伺服器啟用審核功能，可將使用者對檔案/資料夾的刪除、修改、重命名、存取等操作記錄至安全性事件日誌，支援事後追溯與合規稽核。需兩階段設定：啟用審核原則、配置具體物件審核項目。
階段一：啟用審核原則 (群組原則/本地安全性原則)
- 執行
gpedit.msc → 「電腦設定」→「Windows 設定」→「安全性設定」→「本機原則」→「審核原則」。
- 雙擊 「審核登入事件」 → 勾選「成功」、「失敗」→ 確定。
- 雙擊 「審核物件存取」 → 勾選「成功」、「失敗」→ 確定。
注意：必須在 NTFS 分割區上操作，XP/2003 需在「資料夾選項」→「檢視」取消「使用簡單檔案共用」才會顯示「安全性」索引標籤。
階段二：配置檔案/資料夾審核項目 (以 D:\客戶資料 為例)
- 右鍵目標資料夾 → 「內容」→「安全性」→「進階」→「審核」索引標籤。
- 點「新增」→ 輸入審核對象 (如
Everyone 或特定群組) → 確定。
- 「審核項目」對話框勾選需記錄的操作：
✅ 刪除 (成功)
✅ 寫入資料/新增檔案 (成功)
✅ 附加資料/新增資料夾 (成功)
✅ 刪除子資料夾和檔案 (成功)
💡 若需審核所有操作，勾選 「完全控制」 (成功/失敗)。
- 勾選 「僅將這些審核項目套用到這個容器內的物件和/或容器」 (避免遞迴至子層造成日誌暴增) → 確定。
查看審核日誌
- 開啟「事件檢視器」→「安全性」日誌。
- 篩選事件 ID：
🔍 4660：物件被刪除
🔍 4663：嘗試存取物件 (含讀取/寫入/刪除)
🔍 4670：物件權限被變更
- 事件詳細資訊包含：主體 (使用者)、物件路徑、存取要求、存取遮罩、結果。
進階部署：透過群組原則統一配置 (檔案伺服器在 DC 上)
- 開啟「域控制器原則」或對應 OU 的 GPO。
- 「電腦設定」→「Windows 設定」→「安全性設定」→「本機原則」→「審核原則」→ 啟用「審核物件存取」。
- 使用「進階安全性設定」→「審核」配置特定資料夾審核規則 (支援變數路徑、群組對象)。
注意事項與最佳實踐
- 📊 日誌容量：審核會產生大量事件，需調大安全性日誌最大值 (建議 ≥128MB) 或配置日誌轉存/輪轉。
- 🎯 精準範圍：避免對根目錄/大量檔案啟用「完全控制/成功+失敗」，導致日誌風暴影響效能。
- 🔒 權限需求：僅 Administrators 群組或被授予「管理審核和安全性日誌」權限的使用者可配置審核。
- 🗂️ 分類管理：依資料敏感度分級 (核心資料庫/財務檔案/一般文件) 套用不同審核強度。
- 📈 自動化分析：搭配 SIEM/日誌分析平台 (Splunk、ELK、Windows Event Forwarding) 實現即時告警。
適用範圍
此配置同樣適用於 Windows Server 2008/2008 R2/2012/2012 R2/2016/2019/2022，介面路徑略有差異但核心邏輯一致。
