Windows防黑实战经验总结（三）：NTFS文件夹审核策略配置，追踪访问/登录/关机等安全事件

第七招：文件夹审核设置（需NTFS分区）

WinXP可审核文件/文件夹访问、登录尝试、系统关机/重启等事件。配置步骤：

1. 组策略：计算机配置→Windows设置→安全设置→本地策略→审核策略，双击“审核对象访问”，勾选“成功/失败”确定。
2. 右键目标文件/文件夹 → “属性” → “安全” → “高级” → “审核”标签。
3. 添加/编辑/删除审核主体（用户/组），在“审核项”对话框勾选需审核的操作（读取、写入、删除、更改权限、取所有权等）。
4. “应用到”选择范围（此文件夹/子文件夹/文件）。勾选“仅对该容器内的对象应用”可阻断继承。

前提：操作者须为管理员组成员，或拥有“管理审核和安全日志”权限。必须先在组策略启用“审核对象访问”，否则设置文件夹审核会报错且不生效。

审核日志可在“事件查看器” → “安全日志” 查看，事件ID 560/567等对应文件访问/审核条目，是事后溯源、合规检查的关键依据。