效果审计需验证策略生效、日志完整与行为可溯：先用auditpol确认“对象访问”成功/失败均启用，再gpupdate /force刷新组策略；检查目标文件ntfs格式及sacl配置（含子对象继承），最后通过事件查看器筛选4663日志并交叉比对4624、4670等关联事件。
windows 安全策略实施后，效果审计不是“开了就完事”，而是要验证策略是否真正生效、日志是否完整捕获、行为是否可追溯。核心目标是确认：该记录的操作有没有记下来？谁在什么时间做了什么？有没有遗漏或误报？
检查审核策略是否全局启用
策略没开，后续全白搭。必须确认系统级对象访问审核已激活：
- 用管理员权限运行 auditpol /get /category:"Object Access"，输出中应显示“成功：启用”“失败：启用”
- 若未启用，执行 auditpol /set /category:"Object Access" /success:enable /failure:enable
- 组策略配置需刷新：运行 gpupdate /force，或等待策略自动更新（通常90分钟内）
- 注意：家庭版 Windows 不支持
gpedit.msc，须用命令行或升级系统
验证目标文件/文件夹是否正确配置 SACL
即使全局策略开了，单个文件不设 SACL，照样不会产生 4663 日志。关键看三点：
- 右键文件→属性→安全→高级→审核选项卡，确认存在你添加的条目（如 Everyone 或指定用户组）
- 每项操作（如“读取数据”“写入数据”“删除”）右侧必须标注为“仅审核”，且对应勾选“成功”和/或“失败”
- 若审计子文件夹或文件，务必勾选“替换所有子对象的可审核项”——SACL 不继承，必须手动应用
- 确认文件所在分区为 NTFS 格式；FAT32 分区完全不支持 SACL
定位并解读 4663 事件日志
配置生效后，真实访问会触发 ID 4663 事件，这是效果审计的直接证据：
- 打开事件查看器 → Windows 日志 → 安全 → 右键“筛选当前日志”
- 输入事件 ID：4663，可加条件如“任务类别 = 文件系统”缩小范围
- 点开一条 4663 日志，重点看：Subject（操作者账户）、Object Name（被访问路径）、Access Requested（请求的操作，如 ReadData）、Time Generated（发生时间）
- 若多次操作均无 4663，先查 auditpol 状态，再查 SACL 是否漏配或未应用到子项
交叉比对其他关联日志
单靠 4663 不够全面，需结合其他审计事件做闭环验证：
- 4624（登录成功） + 4663：确认访问者身份是否与登录会话一致
- 4670（权限更改）：若有人修改了文件权限，可能绕过原有 SACL，需同步监控
- 4662（对象操作，如 AD 属性修改）：若审计涉及目录服务，需额外开启“审核目录服务访问”策略
- 定期导出安全日志（.evtx），用 PowerShell 或 Log Parser 检查 4663 出现频次、主体分布、高峰时段，识别异常模式
