必须启用“审核对象访问”策略并为敏感文件夹配置sacl审计规则，否则无法生成id 4663日志；仅win10专业版/企业版/教育版支持，家庭版不兼容，且需以管理员权限运行gpedit.msc或secpol.msc完成配置。
要让Windows 10自动记录谁在什么时候修改了你的财务报表、合同或HR档案，必须开启“审核对象访问”并为这些文件夹手动配置SACL审计规则；否则安全日志里永远不会出现ID 4663事件，你根本无法回溯任何篡改行为。
确认系统版本与管理员权限
按 Win + R 输入 winver 回车，查看系统版本：只有专业版、企业版、教育版才内置 gpedit.msc 和 secpol.msc；家庭版直接不支持，强行运行会弹出“找不到指定模块”。【未满足此前提，后续所有操作均无效】
若版本符合，右键“开始”按钮 → 选择“Windows PowerShell（管理员）”，确保窗口标题栏含“管理员”字样——否则打开的组策略编辑器所有选项都是灰色不可点。
启用全局“审核对象访问”策略
方法一（推荐：路径最短）：
按 Win + R → 输入 secpol.msc → 回车 → 点“是”通过UAC提示 → 左侧展开“本地策略”→“审核策略” → 双击右侧“审核对象访问” → 【必须同时勾选“成功”和“失败”】 → 点“确定”。
方法二（更彻底，含高级策略）：
按 Win + R → 输入 gpedit.msc → 回车 → 依次展开：计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 审核策略 → 双击“审核对象访问”，同样勾选“成功”和“失败”。
再继续展开：计算机配置 → Windows 设置 → 安全设置 → 高级审核策略配置 → 系统审核策略 → 对象访问 → 双击“审核文件系统”，勾选“成功”和“失败”。
强制刷新策略并验证是否生效
第一步：在已打开的管理员 PowerShell 窗口中，执行：
gpupdate /force
第二步：紧接着执行：
auditpol /get /category:"Object Access"
第三步：检查输出结果中“审核对象访问”对应行——必须明确显示“成功: 已启用, 失败: 已启用”。如果任一项是“未配置”或“否”，说明策略未写入，需返回上一步重新勾选并保存。
为目标敏感文件夹配置SACL审计规则
① 右键你要监控的文件夹（例如 D:\Confidential\Contract）→ 属性 → 安全 → 高级 → 切换到“审核”选项卡。
② 点击“添加” → “选择主体” → 输入 Everyone（覆盖所有账户，包括SYSTEM、Guest、未知域用户）→ 点“确定”。
③ 在下方权限列表中，勾选：
• 读取数据/列出目录
• 写入数据/创建文件
• 删除子文件夹和文件
• 更改权限
每项右侧必须显示“仅审核”，不是“允许”或“拒绝”。
④ 在“应用于”下拉菜单中，选择：
此文件夹、子文件夹和文件 → 勾选“替换所有子对象的可审核项” → 点“确定”。
查看并确认4663日志是否真实生成
按 Win + R 输入 eventvwr.msc → 打开事件查看器 → 左侧导航至“Windows 日志”→“安全”。
右键“安全” → “筛选当前日志” → 在“事件ID”框中填入 4663 → 点“确定”。
此时若列表为空，立刻用记事本打开该文件夹内任意一个文件并保存一次——刷新日志，应立即出现一条新4663事件。双击它，在“详细信息”选项卡中确认“Object Name”指向你的目标路径，“Accesses”包含“WriteData”，“Subject”显示操作账户名。
