四、日誌管理與分析最佳實務

• 日誌尺寸： 安全性日誌預設 512 KB 極小，建議調整至 100-500 MB (視事件量)，或設定「覆寫舊事件 (天數) = 365」。
• 集中收集： 部署 Windows Event Forwarding (WEF) / Syslog Forwarder 將日誌轉送至 SIEM (Splunk, Elastic, Graylog, Azure Sentinel)。
• 關鍵事件 ID 必看清單：

五、進階：命令列稽核與 PowerShell 記錄

• 啟用「處理程序建立時包含命令列」: GPO → 系統稽核原則 → 程序追蹤 → 啟用「處理程序建立」成功/失敗 + GPO → 系統 → 啟用命令列程序建立記錄。
• PowerShell 模組/腳本區塊記錄: GPO → Windows 元件 → Windows PowerShell → 開啟模組記錄/腳本區塊記錄，記錄完整命令內容 (含混淆解碼後)。
• Sysmon (Sysinternals) 部署: Event ID 1 (Process Create, 含命令列/父進程/雜湊)、3 (Network Connect)、7 (Image Load)、11 (File Create)、12/13/14 (Registry) — 企業級可見度標準。

結語

Windows 2000 稽核功能雖屬上世代，其核心邏輯 — 策略啟用 → SACL 精準監控 → 日誌集中分析 → 關鍵 Event ID 即時告警 — 完全適用於現代 Windows (10/11/Server 2022)。建議管理員立即檢視現有稽核配置，補齊缺口，並導入 SIEM/SOAR 實現自動化偵測回應，讓每一次入侵嘗試都在「光」下無處遁形。