Windows文件系统审核日志开启

审核策略可以通过在域控上配置GPO推送到文件服务器上，也可以直接在每台文件服务器上的“本地策略”中配置。如下介绍在“本地策略”中配置的方式：
•    文件服务器上打开“运行”，输入gpedit.msc，进入“本地策略编辑器”；
•    如下图到“高级审核策略”中进行设置：在Computer Configuration -Windows Settings -Security Settings -Advanced Audit Policy Configuration中，设置启用”Object Access”中的“Audit File Share”和“Audit File System”；
 
 
•    设置完成后，管理员权限打开CMD，执行命令：gpupdate /force ；
 
•    再实行以下命令查看审核策略是否设置成功：
Auditpol /get /category:*
 
 
2、在问题文件路径设置审核：
右击问题文件夹的路径，点击“属性”，点击“安全”，点击“高级”：
 
 
 

点击“审核”然后点击“添加”
 
 
 
添加everyone，按下图设置和勾选，适用范围是“This folder, subfolders and all files”，点击“OK”;
 

设置完成后对问题文件夹下的子文件夹和子文件的任何访问都会记录在Audit 日志中，而Audit日志就在事件日志的“安全日志”中。

注意：如果被审计的行为操作频繁，相应就会在安全日志中产生大量的日志，因此若之前安全日志限制设置的比较小的话，日志会容易被复写，建议可以适当调大或存档，以防有用的审核日志被覆盖。