Windows XP 稽核原則實戰：打造「系統攝影機」監控檔案存取、IE 首頁綁架與啟動項竄改

什麼是稽核原則？

Windows 2000/XP/2003 引入的安全機制，以日誌形式記錄指定物件（檔案、資料夾、登錄表鍵值等）的存取嘗試（成功/失敗）。系統管理員透過事件檢視器即可追蹤「誰在何時對什麼做了什麼」，堪稱隱形系統攝影機。

啟用前提與準備

• 作業系統：Windows XP Professional（Home 版無本地安全性原則）
• 檔案系統：NTFS（FAT32 不支援 ACL/稽核）
• 啟用「稽核物件存取」原則
• 目標物件設定 SACL（系統存取控制清單）指定稽核對象與存取類型

步驟一：開啟「稽核物件存取」

1. Win+R → secpol.msc 開啟「本地安全性原則」
2. 展開「本地原則」→「稽核原則」→ 雙擊「稽核物件存取」
3. 勾選「成功」與「失敗」→ 確定

圖 1：啟用稽核物件存取（成功/失敗）

步驟二：查看事件日誌

1. Win+R → eventvwr.msc 開啟事件檢視器
2. 展開「安全性」日誌
3. 右鍵→「篩選」→ 勾選「成功稽核」「失敗稽核」→ 事件來源/類別依需求選擇
   （事件 ID 560 為物件存取核心事件）

圖 2：篩選安全性日誌聚焦稽核事件

實戰案例一：商業間諜偵測——監控敏感資料夾存取

場景： 公司機密外洩，懷疑員工「小何」竊取 D:\Data 資料。
操作：

1. 資料夾屬性→「安全性」→「進階」→「稽核」標籤→「新增」
2. 輸入 電腦名\Users（小何所屬群組）→ 確定
3. 勾選「讀取及執行」「列出資料夾/讀取資料」→ 確定套用
4. 事件檢視器→「安全性」→ 右鍵「清除所有事件」→ 登出
5. 小何登入，開啟 D:\Data 並執行裡面的 MSN6.2.exe
6. 管理員登入，查看安全性日誌：清晰記錄小何的存取時間、物件、存取類型、進程 ID（圖 3-5）

圖 3：新增稽核對象「Users」群組

圖 4：勾選「讀取及執行」等關鍵權限

圖 5：日誌詳細記錄存取者、時間、物件、進程

實戰案例二：揪出 IE 首頁綁架者——監控登錄表鍵值修改

場景： IE 首頁頻被竄改，懷疑家人誤點惡意網站。
原理： IE 首頁設定存於 HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Start Page。
操作：

1. 稽核原則啟用「稽核物件存取」→「成功」
2. 註冊表編輯器定位 HKCU\Software\Microsoft\Internet Explorer\Main → 右鍵「權限」→「進階」→「稽核」
3. 新增當前用戶 → 勾選「設定值」→ 套用
4. 故意在 IE「網際網路選項」將首頁改為 https://www.cfan.com.cn
5. 事件檢視器查看：記錄修改者、時間、鍵值名稱、新值（圖 6）

圖 6：成功捕獲 IE 首頁被修改的稽核事件

實戰案例三：捕捉啟動項植入「內鬼」——監控 Run 鍵值

場景： 軟體安裝後偷偷加入開機自啟，甚至植入木馬。
目標鍵： HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run（另有 8 大常見啟動鍵見附表）
操作：

1. 同法對上述鍵設定「設定值」稽核
2. 清除安全性日誌 → 安裝 MSN Messenger（已知會加入啟動項）
3. 查看日誌：精確記錄新增值名稱、資料、操作者、進程（圖 7）

圖 7：捕獲 MSN Messenger 寫入 Run 鍵值

附表：登錄表 9 大啟動項藏身處

進階技巧與注意事項

• 日誌保護： 設定「安全性日誌」最大容量、覆寫模式、限制存取權限（僅管理員），防範入侵者清除證據。
• 效能影響： 大量稽核會增加系統負擔，建議精準鎖定關鍵物件，避免全盤稽核。
• 遠端收集： 結合事件轉寄/集中日誌伺服器（如 Syslog/SIEM），實現多機器統一稽核。
• Home 版替代： 無 secpol.msc，可用 gpedit.msc（若有）或登錄表直接修改 HKLM\SYSTEM\CurrentControlSet\Control\Lsa\AuditBaseObjects = 1 啟用核心物件稽核，再手動設定 SACL（較繁瑣）。

小結

稽核原則是 Windows 內建的「零成本、零安裝、核心級」監控機制。善用它，不需購買昂貴的檔案存取監控軟體、登錄表監視器、啟動項防護工具，即可構建企業級的資安可見性。下次發現檔案神秘消失、IE 首頁被綁、不明程式開機自啟，啟用稽核、查看日誌，真相大白。