Windows 存取檔案記錄
1.在File Server執行gpedit.msc -> 電腦設定 -> Windows 設定 -> 安全性設定 -> 本機原則 -> 稽核原則 -> 啟動"稽核物件存取" 2.在你要監控的資料夾上面點右鍵 -> 內容 -> 安全性 -> 進階 -> 稽核 , 在此加入你要稽核的帳號,勾選"讀取屬性" 3.稽核標籤底下有個"以顯示於此套用到子物件...."的選項要打勾 4.只要該User有去讀取資料夾裡面的檔案時..就會出現類似下面的事件紀錄 (在事件檢視器 -> 安全性裡面) PS:由於安全性的紀錄會很多筆..你可以透過篩選的方式篩選"事件來源" & "物件存取" & "事件識別碼" 來縮小範圍 -------------------------------------------------------------- 事件類型: 稽核成功 事件來源: Security 事件類別目錄: 物件存取 事件識別碼: 560 日期: 2009/9/8 時間: 上午 10:36:53 使用者: DFS\administrator 電腦: DFS2003-3 描述: 物件開啟: 物件伺服器: Security 物件類型: File 物件名稱: C:\123\新增WordPad 文件.doc 處理識別碼: 1824 操作識別碼: {0,742338} 程序識別碼: 3384 影像檔案名稱: C:\WINDOWS\explorer.exe 主要使用者名稱: administrator 主網域: DFS 主要登入識別碼: (0x0,0x33ADB) -----------------------------------------...