必须启用“审核对象访问”并配置sacl才能记录敏感文件访问，否则无4663事件；仅专业版/企业版/教育版支持secpol.msc，需管理员权限操作；勾选“成功”和“失败”，执行gpupdate /force与auditpol验证，再为具体文件夹设置everyone的“读取数据”和“写入数据”审核规则，并应用至子对象。
要排查黑客是否正在访问敏感文件，必须在Windows 10本地安全策略中启用“审核对象访问”，否则系统根本不会记录任何文件打开、复制或删除行为，安全日志里也不会出现4663事件——这是唯一能证明有人碰过你关键文档的证据。
确认系统版本与权限前提
先按 Win + R 输入 winver 回车，查看系统版本：只有专业版、企业版、教育版才支持 secpol.msc；家庭版直接无法打开，强行运行会提示“找不到指定模块”。
若版本符合，右键点击“开始”按钮 → 选择“Windows PowerShell（管理员）”或“命令提示符（管理员）”，确保后续所有操作都在提权环境下进行。未以管理员身份运行时，secpol.msc 打开后将灰显全部策略项，无法修改。
用 secpol.msc 直接开启审核对象访问
这是最简路径，适用于仅需启用基础对象访问审计的场景。
按 Win + R → 输入 secpol.msc → 回车 → 若弹出UAC提示，点“是”。
左侧导航树依次展开：本地策略 → 审核策略；在右侧列表中找到并双击“审核对象访问”。【必须同时勾选“成功”和“失败”】，否则只记一种行为，黑客读取文件却没触发日志，你就彻底漏掉了入侵痕迹。
点击“确定”后无需重启，但策略不会立即生效——必须执行下一步刷新。
强制刷新策略并验证状态
这一步跳过就等于白配：组策略变更默认有延迟，不刷新则日志始终为空。
在已打开的管理员 PowerShell 窗口中，逐行执行：
gpupdate /force
auditpol /get /category:"Object Access"
第二条命令返回结果中，“审核对象访问”对应的状态必须为“成功：已启用，失败：已启用”。若显示“未配置”或任一为“否”，说明上一步勾选未写入生效，需重进 secpol.msc 检查并再次确认。
为具体敏感文件夹配置SACL审计规则
仅开启“审核对象访问”只是打开了总闸，真正让系统盯住某份财务报表或HR档案的，是给该文件夹手动加SACL——它不继承、不自动传播，必须亲手设。
第一步：右键目标文件夹（如 D:\Confidential\Finance）→ 属性 → 安全 → 高级 → 切换到“审核”选项卡。
第二步：点击“添加” → “选择主体” → 输入 Everyone（覆盖所有可能账户，包括SYSTEM和未知登录者）→ 点击“确定”。
第三步：在下方权限列表中，【务必勾选“读取数据/列出目录”和“写入数据/添加文件”两项，并确保每项右侧显示“仅审核”而非“允许”】；其他如“删除”“更改权限”按需补充，但前两项是黑客探路必触发动作。
第四步：“应用于”下拉选“此文件夹、子文件夹和文件”，并勾选“替换所有子对象的可审核项”——否则子文件夹和文档完全不受监控，形同虚设。
实时验证日志是否真实生成
配置完立刻验证，避免因NTFS格式错误、磁盘满、日志被禁用等底层问题导致假成功。
打开事件查看器（eventvwr.msc）→ 左侧展开“Windows 日志 → 安全” → 右键“安全” → “筛选当前日志” → 在“事件ID”栏填入 4663 → “关键字”勾选“审核成功” → 点“确定”。
此时日志应为空。立即用普通用户账户双击打开刚才配置的那个敏感文件夹中的任意一个TXT或XLSX文件——不要用管理员账户，黑客不会用管理员账号摸进来。
回到事件查看器，点击右上角“刷新”图标，若看到新出现一条4663事件，双击打开，检查“对象名称”是否为你刚打开的文件路径、“访问掩码”是否含0x80（读取）、“帐户名”是否为实际操作者——这就证实整套链路已通。
