Windows Server 2008 稽核原則完整部署指南：啟用策略、查看事件日誌、實戰偵測非法帳號建立與自動警報

Windows Server 2008 稽核功能預設未啟用，需針對特定事件類別啟用。本文詳細說明九大稽核原則用途、透過群組原則啟用「稽核登入事件」與「稽核帳戶管理」、使用事件檢視器查詢/篩選/匯出日誌，並實作「偵測非法帳號建立並發送自動警報」完整流程。

九大稽核原則與適用場景

啟用稽核原則步驟

1. Win+R → secpol.msc (或 gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 本機原則 → 稽核原則)
2. 雙擊目標原則 (例：「稽核登入事件」) → 勾選「成功」與「失敗」 → 確定
3. 重複啟用所需原則 (建議依資安需求啟用，避免全開導致效能衰退與日誌暴增)

查看稽核日誌

1. 開啟「伺服器管理員」 → 「診斷」 → 「事件檢視器」 → 「Windows 記錄」 → 「安全性」
2. 中間窗格顯示事件清單，雙擊可檢視詳細資訊 (事件 ID、來源、使用者、電腦、描述)
3. 右鍵功能：「篩選目前記錄」、「將事件另存為」、「清除記錄」、「開啟已儲存的記錄」

實戰：偵測非法帳號建立並自動發送警報

1. 啟用「稽核帳戶管理」→ 成功/失敗皆勾選
2. 確認「工作排程器」服務正在執行
3. 事件檢視器 → 安全性記錄 → 找到事件 ID 4720 (建立使用者帳號) → 右鍵 → 「將工作連結到此事件」
4. 建立基本工作精靈：名稱「自動警報帳號建立」 → 動作選「顯示訊息」 → 標題/內容自訂 (例：「偵測到新帳號建立，請網管立即檢查！」)
5. 完成後，嘗試遠端桌面建立新帳號 → 螢幕立即彈出警報視窗

資源考量：稽核會消耗磁碟空間與 CPU，建議定期封存/清理舊日誌，並針對高價值事件類別啟用。