啟用稽核策略：預設不記錄，必須手動開啟

路徑：控制台 → 管理工具 → 本地安全策略 → 稽核策略。九大類事件建議配置如下：

稽核類別	建議設定	說明
策略變更	成功、失敗	特權指派、稽核策略修改、信任關係變更
登入事件	成功、失敗	本機互動式登入與網路登入
物件存取	失敗	需配合 NTFS 檔案/資料夾 SACL 使用
程序追蹤	視需求	進程建立、句柄複製、終止等，資源消耗大
目錄服務存取	失敗	Active Directory 物件存取
特權使用	失敗	敏感特權行使
系統事件	成功、失敗	關機/重啟、安全日誌清除、啟動/關閉稽核
帳號登入事件	成功、失敗	網路驗證帳號有效性
帳號管理	成功、失敗	建立/刪除帳號、改密、群組變更

原則：項目過少漏報風險，過多拖垮效能且日誌無人看。建議核心類全開，其餘視業務啟用。

配合帳號鎖定策略延緩暴力破解

「帳號鎖定閾值」設 3 次，「鎖定時間」30 分鐘以上。攻擊者 24 小時內幾乎無法嘗試足夠密碼組合。

檔案/資料夾存取稽核：僅限 NTFS

1. 確認目標在 NTFS 分區。
2. 已啟用「物件存取」失敗稽核。
3. 右鍵檔案/資料夾 →「內容」→「安全性」→「進階」→「稽核」頁籤 →「新增」指定用戶/群組 → 勾選「失敗」（或成功）項目。
4. 預設繼承父層設定，若需獨立控制，取消勾選「允許繼承自父代的可繼承稽核項目傳播」。

日誌查看與維護

• 「事件檢視器 → 安全性日誌」查看摘要與詳細資訊。連續失敗登入後出現成功登入，極可能密碼被破解。
• 右鍵日誌 →「內容」調整最大容量（預設 512KB）、覆寫規則（預設 7 天）、保留方式。
• 定期匯出備份、設定警示（如事件 ID 529、539、644 等），實現自動化告警。

總結

稽核不直接阻擋攻擊，但提供事後追溯、法律證據與風險發現依據。配合即時警示與定期審閱，能將 Windows 2000 平台的安全基線大幅提升。