Windows Server 2008 內建強大的安全稽核子系統，可追蹤登入事件、物件存取、權限使用、帳號管理等九大類關鍵活動。善用稽核不僅能滿足法規遵循需求，更是入侵偵測與故障排查的第一手線索來源。本文詳細說明稽核策略配置、關鍵策略解析與事件檢視器日誌分析流程。

一、 啟用與配置稽核策略

1. 以系統管理員登入 → 「開始」→「控制台」→「系統及維護」→「系統管理工具」→「本機安全性原則」。
2. 展開「安全性設定」→「本機原則」→「稽核原則」，右側列出九項稽核項目：

稽核項目	追蹤內容	建議啟用場景
稽核帳戶登入事件	網域控制站驗證帳戶登入嘗試	所有網域控制站 (必須)
稽核帳戶管理	帳戶建立、刪除、重命名、密碼變更、群組異動	所有伺服器 (必須)
稽核目錄服務存取	AD 物件存取 (需在物件 SACL 設定)	網域控制站
稽核登入事件	本機/網域登入、登出、鎖定、解除鎖定	所有伺服器 (成功/失敗皆啟用)
稽核物件存取	檔案、資料夾、登錄機碼、印表機等物件存取 (需 SACL)	檔案伺服器、資料庫伺服器
稽核原則變更	本機/網域原則、使用者權限、稽核原則本身變更	所有伺服器 (必須)
稽核程序追蹤	程式啟動、終止、控制代碼操作、間接存取物件	高價值應用伺服器 (需評估效能影響)
稽核權限使用	使用者行使特殊權限 (如備份、還原、變更系統時間)	所有伺服器 (失敗至少啟用)
稽核系統事件	系統啟動/關機、安全性記錄清除、時間變更、授權伺服器清單載入	所有伺服器 (必須)

範例：啟用「稽核登入事件」偵測暴力破解

1. 雙擊「稽核登入事件」→ 勾選「成功」與「失敗」→ 確定。
2. 此後所有登入嘗試 (含 RDP、主控台、網路驅動器對應) 皆會記錄於安全性記錄，事件 ID 4624 (成功)、4625 (失敗) 為核心分析依據。

二、 稽核記錄查看與分析

1. 「伺服器管理員」→ 左側「診斷」→「事件檢視器」→「Windows 記錄」→「安全性」。
2. 使用「篩選目前記錄」功能，依事件 ID、來源、使用者、日期篩選。
3. 關鍵事件 ID 快速查核表：

• 4624：登入成功 (登入類型 2=主控台, 3=網路, 10=RDP, 5=服務啟動)
• 4625：登入失敗 (失敗原因碼 0xC000006A=密碼錯誤, 0xC0000064=帳戶不存在)
• 4720/4722/4725/4726：使用者帳戶建立/啟用/停用/刪除
• 4732/4733/4756/4757：安全性群組成員異動
• 4670：物件權限變更
• 1102：安全性記錄被清除 (極度可疑)

三、 效能與儲存管理建議

• 稽核會產生大量日誌，建議將安全性記錄最大容量設為 1 GB 以上，並啟用「依需求覆寫事件 (舊事件優先)」。
• 關鍵伺服器建議部署 Windows Event Forwarding (WEF) 將日誌集中至專用收集器，配合 SIEM 系統 (如 Splunk、Azure Sentinel) 進行關聯分析。
• 避免盲目啟用所有「成功/失敗」，優先啟用高風險項目 (登入、帳戶管理、原則變更、系統事件)，其餘依業務風險評估逐步擴展。

建立完善的稽核基線、日誌保留與分析流程，是 Windows Server 2008 環境資安防禦體系的基石，能將「事後鑑識」轉化為「事中偵測、事前預防」。