要在windows中精确追踪文件访问行为，需依次启用全局对象访问审核策略、为目标文件配置sacl审计规则、用auditpol命令验证设置、通过事件查看器筛选id 4663日志，并可在域环境中用gpo集中部署。
如果您希望在Windows系统中精确掌握谁在什么时候访问、修改或删除了特定文件，必须启用并配置文件审核功能。以下是实现该目标的多种技术路径：
一、启用全局对象访问审核策略
该步骤是整个文件审核机制的基础，用于在系统级别开启“对象访问”类事件的捕获能力，使后续对具体文件或文件夹设置的审计规则能被安全日志记录。
1、按Win + R打开运行窗口，输入gpedit.msc并回车，启动本地组策略编辑器。
2、依次展开路径：计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 审核策略。
3、在右侧双击“审核对象访问”。
4、勾选“成功”和“失败”复选框，点击确定保存。
二、为指定文件或文件夹配置SACL审计规则
仅启用全局审核策略无法触发日志生成；必须为目标对象显式添加系统访问控制列表（SACL），明确指定需审计的操作类型及主体，系统才会在发生匹配行为时写入事件日志。
1、右键目标文件或文件夹，选择“属性” → “安全” → “高级”。
2、切换到“审核”选项卡，点击“添加”。
3、点击“选择主体”，输入Everyone或指定用户/组（如Domain Users），点击确定。
4、在下方权限列表中，勾选需审计的操作类型，例如：读取数据、写入数据、删除、更改权限，并确保每项对应列显示为“仅审核”（非“允许”或“拒绝”）。
5、勾选“替换所有子对象的可审核项”，点击确定保存SACL设置。
三、通过命令行快速启用并验证审核策略
适用于批量部署、无图形界面环境或需脚本化操作的场景，可绕过GUI直接修改本地安全策略，提升配置效率与一致性。
1、以管理员身份运行命令提示符或PowerShell。
2、执行以下命令启用对象访问审核：auditpol /set /category:"Object Access" /success:enable /failure:enable。
通过 SSH 隧道从 Android 设备在互联网上对 Windows PC 实现完整远程控制的设置与使用指南，适用于远程桌面访问、安全 RDP 等。
3、执行验证命令：auditpol /get /category:"Object Access"，确认输出中显示“成功：已启用”和“失败：已启用”。
4、执行gpupdate /force强制刷新组策略，确保新设置立即生效。
四、查看并筛选文件操作日志
完成上述配置后，所有匹配的文件访问事件将作为安全事件写入Windows安全日志，需通过事件查看器定位关键条目以还原操作行为。
1、按Win + R输入eventvwr.msc，打开事件查看器。
2、导航至“Windows 日志” → “安全”。
3、在右侧点击“筛选当前日志”，在“事件ID”栏输入4663（表示对象访问，含读/写/删/改），点击确定。
4、双击任意4663事件，在“详细信息”选项卡中查看：访问时间、账户名、客户端进程、对象名称（完整路径）、访问掩码（具体操作类型）。
五、使用域环境GPO集中部署文件审核
在Active Directory域环境中，可通过组策略对象（GPO）统一为多台计算机启用审核策略并推送SACL模板，实现规模化、标准化管理，避免逐台配置带来的遗漏与不一致。
1、在域控制器上打开组策略管理控制台（GPMC）。
2、新建或编辑链接至目标OU（如“文件服务器”OU）的GPO。
3、编辑GPO，导航至：计算机配置 → 策略 → Windows 设置 → 安全设置 → 高级审核策略配置 → 对象访问 → 文件系统。
4、双击“配置文件系统审核”，勾选“成功”和“失败”，点击确定。
5、在GPO中配置“首选项 → Windows 设置 → 安全设置 → 文件”，添加目标文件夹路径，并设置其SACL属性（含主体、审核类型、继承选项）。
6、执行gpupdate /force于目标计算机，或等待策略自动刷新。
