XP各項稽核原則說明：

稽核過的事件記錄可在"開始"－＞ "控制台"－＞"系統管理工具"－＞"事件檢視器"中得知。稽核過的事件記錄可在"開始"－＞ "控制台"－＞"系統管理工具"－＞"事件檢視器"中得知。

在"事件檢視器"視窗中，點選左方組織圖中的"事件檢視器"－＞"安全性"可看到所有稽核過的事件記錄。

利用滑鼠左鍵點擊事件兩下，即可出現如下舉例的事件內容。

a.) 稽核帳戶登入事件：通常是針對在網域控制站(Active Directory)架構下的電腦來做稽核。若遠端的使用者電腦嘗試登入某一個工作站或伺服器電腦時，即會在網域控制站及工作站上產生該稽核事件。

ex：若您嘗試利用遠端桌面登入某個工作站時，則在您的電腦及遠端的工作站中，事件檢視器的日誌都會出現一個帳戶登入的事件。所以若駭客企圖遠端嘗試登入您的電腦即可儘早發現。

若被嘗試登入的工作站，遠端者輸入錯誤的帳號或密碼，則會在工作站電腦的事件日誌中產生稽核失敗事件；若成功則會產生帳戶登入成功事件。

＊什麼是網域控制站(Active Directory)？
Ans：就是在一個區域網路中，架設一台目錄伺服器，主要目的是用來監控管理區域網路中的每台使用者電腦及工作站或伺服器電腦。

b.) 稽核帳戶管理：這項原則設定可用來追蹤建立、變更或刪除使用者帳戶或群組，重新命名、停用或啟用使用者帳戶，設定或變更帳戶密碼。如果您啟用這項稽核原則設定，系統管理員即可追蹤事件，以便偵測惡意、意外或經過授權之下建立使用者和群組帳戶的動作。

ex：若有人嘗試在您的電腦建立新的登入帳號，那麼這些建立的動作則會在事件檢視器中產生一些帳戶管理事件。

若使用者嘗試在某台電腦上建立新的登入帳號，若成功的話，則會產生稽核成功事件

c.) 稽核目錄服務存取：此項是針對在網域控制站(Active Directory)下的電腦才會啟作用。此項原則並不適用於一般家庭用戶的電腦，故針對一般家庭用戶可設定為"尚未定義"。

d.) 稽核登入事件：此稽核事件會發生於本機電腦的使用者在登入/ 登出本機時，或是在使用者電腦嘗試登入 / 登出網域中的工作站或伺服器時，在工作站或伺服器上會產生一個稽核事件。如果您將 [稽核登入事件] 這項設定設為 [沒有稽核]，將難以 (甚至無法) 判定是哪位使用者存取或嘗試存取組織中的電腦。

ex：該事件會產生在遠端登入的帳戶，或是本機的帳戶登入時。若為遠端的帳戶登入時，通常在日誌事件中會伴隨一個帳戶登入事件。

若在本機登入的帳戶輸入錯誤的帳號或密碼，則在電腦的事件日誌中，會產生一個登入失敗的事件；反之成功則會產生一個成功的登入事件。

e.) 稽核物件存取：這項原則設定本身不會導致任何事件受到稽核。對於具有指定的系統存取控制清單，例如：檔案、資料夾、登錄機碼或印表機等，這項原則設定可以決定是否要對使用者存取此類物件之事件進行稽核。

ex：在某台電腦中，一位只有Users身分的帳戶登入，嘗試去建立一個新的登入帳號。

則此時會產生一個失敗的物件存取事件：

d.) 稽核原則變更：可用來稽核使用者權限指派原則、稽核原則或信任原則(ex：Windows 防火牆原則)變更的每一個事件。建議的設定能讓您看出攻擊者嘗試提高的帳戶權限，例如：透過新增 [程式偵錯] 權限或 [備份檔案及目錄] 權限。

ex：當某位使用者嘗試去關閉本機的Windows防火牆時，則會產生一個稽核原則變更事件。

若成功關閉本機的Windows防火牆，則會產生一個成功的原則變更事件。

e.) 稽核特殊權限使用：這項原則設定可決定是否要稽核使用者行使使用者權限的每一個例項。如果您將這個值設為 [成功]，每回該使用者權限順利執行時都會產生稽核項目。如果您將這個值設為 [失敗]，每回該使用者權限未順利執行時都會產生稽核項目。這項原則設定可以產生極大量的事件記錄。

ex：在某台電腦中，一位只有Users身分的帳戶登入，嘗試去觀看本機電腦中的日誌事件。

遭到系統的拒絕，此時則產生一個特殊權限使用的失敗事件。

f.) 稽核程序追蹤：這項原則設定會決定是否稽核事件的詳細追蹤資訊，這些事件包括程式啟用、處理程序結束、控制碼複製，以及間接物件存取。啟用 [稽核程序追蹤] 會產生大量的事件，所以通常將它設定為 [沒有稽核]。然而，有了這項設定，發生事件時的回應期間可從所啟動的程序和啟動時間的詳細記錄檔獲得莫大的幫助。

g.) 稽核系統事件 ： 這項原則設定非常重要，因為它可讓您監視成功及失敗的系統事件，並提供這些事件的記錄，藉此協助判斷未經授權的系統存取之例項。系統事件包括啟動或關閉您環境中的電腦、事件日誌已滿，或是會影響整個系統的其他安全性相關事件。

ex：當使用者嘗試去刪除稽核日誌事件，企圖湮滅證據，則在成功刪除日誌事件時，會留下一筆刪除記錄的系統事件。

資料來源：
http://blog.xuite.net/antivirus/hisecure/14170675 1.) 台灣微軟： Windows XP 安全性指南：http://www.microsoft.com/taiwan/technet/security/prodtech/windowsxp/secwinxp/xpsgch03.mspx 威脅與因應對策：http://www.microsoft.com/taiwan/technet/security/topics/serversecurity/tcg/tcgch05n.mspx 事件ID代碼查詢：http://www.microsoft.com/taiwan/technet/security/prodtech/windowsserver2003/w2003hg/s3sgch04.mspx#ESF  

2