必须同步启用登录、账户管理、策略更改、特权使用和对象访问五类审核策略，并对敏感路径按职能组配置sacl，设大安全日志并关联分析4663/4660/4670事件组合，才能准确定位谁在何时修改了哪个文件。
要真正查到谁在什么时候改了哪个文件，不能只开一个“对象访问”审核就完事。windows 的文件修改日志审计是一套策略、路径、日志和分析四环相扣的机制，关键在于精准启用、定向记录、可靠留存、快速识别。
必须同步开启的五类审核策略
仅勾选“审核对象访问”会导致前置行为漏记，一次误改往往伴随账号异常、权限变更或策略关闭。以下五类策略需在域环境通过 GPO 统一配置（本地服务器可用 secpol.msc 或 auditpol 命令），且成功与失败均需启用：
- 审核登录事件：定位非法接入时间与来源 IP
- 审核账户管理：捕获用户/组变更、密码重置等高风险操作
- 审核策略更改：防止有人主动关闭审计本身（如禁用“对象访问”）
- 审核特权使用：追踪管理员提权后执行的修改动作
- 审核对象访问：核心项，用于关联具体文件写入、覆盖、属性变更等行为
只对敏感路径和职能主体启用审核
全盘启用（如整个 D:\）会引发日志爆炸、性能下降、关键事件被淹没。规范化做法是：
- 限定路径：仅对明确业务敏感区域设置审核，例如 D:\Finance\Reports\2026、E:\HR\Onboarding
- 限定主体：不添加 Everyone 或 Authenticated Users；改用职能组，如 Finance-Editors、HR-Approvers
- 精细操作类型：在文件夹“属性 → 安全 → 高级 → 审核”中，勾选“写入数据”“写入属性”“删除”“修改权限”等实际关注项，避免全选导致冗余日志
安全日志必须主动设大、归档、定期导出
默认安全日志仅保留几百条，满即覆盖——修改痕迹可能在你察觉前就消失。必须手动干预：
- 将安全日志最大大小设为 ≥1024 MB（1 GB）（通过 compmgmt.msc → 事件查看器 → 安全日志 → 属性调整）
- 启用“日志满时，按需要存档日志”，指定独立磁盘路径（如 F:\AuditLogs\），避免与系统盘争抢空间
- 用任务计划程序每周自动执行：
wevtutil qe Security /q:"EventID=4663 AND (Message LIKE '%写入%' OR Message LIKE '%修改%')" /f:text > F:\AuditLogs\weekly_mods_%date:~0,4%%date:~5,2%%date:~8,2%.log
重点盯住 4663 + 4660 + 4670 组合事件
Windows 不直接记录“张三改了合同.docx”，而是拆解为多个底层事件。单看 4663（尝试访问对象）只能知道“有访问”，需结合其他事件才能还原完整操作链：
- 4663：显示用户、进程、访问类型（如“WRITE_DATA”）、对象路径、结果（成功/失败）
- 4660：当文件被移动或重命名时触发，可辅助判断是否“改名即修改”
- 4670：若修改涉及权限变更（如加了“完全控制”），该事件会记录权限字段变化
三者时间戳相近、用户一致、路径匹配，基本可锁定一次真实文件修改行为。
