Vista 系統稽核功能完整應用指南：策略設定、事件查看與檔案存取監控

稽核功能總覽

Vista 的「稽核」如同系統晴雨表，記錄使用者操作與系統事件，兼具安全監控與故障診斷雙重價值。啟用會消耗資源，需依需求制定策略平衡效能。

一、制定稽核策略原則

管理員須明確：

• 稽核哪些事件類別 (登入、物件存取、原則變更、權限使用、程序追蹤等)。
• 成功/失敗事件是否都記錄。
• 日誌存取權限、收集歸檔流程、備份機制、保留週期、審查工具、異常處理程序。

二、設定本地稽核原則

1. 控制台 → 系統維護 → 管理工具 → 本地安全性原則 (或執行 secpol.msc)。
2. 展開「本地原則」→「稽核原則」，9 項可設定：

• 稽核帳戶登入事件
• 稽核帳戶管理
• 稽核目錄服務存取
• 稽核登入事件
• 稽核物件存取
• 稽核原則變更
• 稽核權限使用
• 稽核程序追蹤
• 稽核系統事件

雙擊項目 → 勾選「成功」、「失敗」→ 確定。

三、事件檢視器查看稽核報告

1. 管理工具 → 事件檢視器 (或 eventvwr.msc)。
2. 「Windows 記錄」下分類：應用程式、安全性、安裝、系統、轉送事件。
3. 「安全性」記錄包含所有稽核事件。雙擊單筆可見事件 ID、來源、使用者、時間等詳細資訊。
4. 右鍵記錄類別可：匯出/匯入/清除/篩選目前記錄。

四、實戰：檔案/資料夾存取監控 (NTFS 必須)

1. 本地安全性原則 → 啟用「稽核物件存取」→ 勾選「成功」 (或視需求含失敗)。
2. 右鍵目標資料夾 → 「內容」→ 「安全性」→ 「進階」→ 「稽核」索引標籤 → 「繼續」→ 「新增」。
3. 輸入欲監控的使用者/群組 (如 Everyone、特定帳戶) → 確定。
4. 「稽核項目」勾選需監控動作：建立檔案/寫入資料、刪除、完全控制等 → 確定套用。

五、篩選鎖定特定事件 (以檔案複製為例)

1. 事件檢視器 → 右鍵「安全性」→ 「篩選目前記錄」。
2. 「篩選」索引標籤設定：
    • 事件來源：Security-Auditing
    • 工作類別：檔案系統
    • 事件 ID：4656 (檔案/物件存取嘗試)
   → 確定。
3. 結果清單中，展開含 Object Type: File 的項目，即為檔案層級存取。雙擊可見主體使用者、檔案路徑、存取權限遮罩等細節。

六、常用事件 ID 快查表

七、總結與建議

• **最小權限原則**：僅稽核必要類別，避免日誌暴增影響效能。
• **定期匯出歸檔**：安全性記錄預設最大 128 MB，易覆寫；建議排程匯出至集中日誌伺服器。
• **善用篩選器**：事件 ID + 工作類別 + 關鍵字 組合可快速定位關鍵證據。
• **整合 SIEM**：企業環境建議導入 Security Information and Event Management 系統集中分析。
• **測試先行**：新增稽核策略先在測試機驗證日誌量與效能影響。