文件服务器怎么开文件审计，谁删的文件一查就知道？
问题
共享盘上的重要文件被人删了，没人承认、无从查起——这在没有开文件审计的中小企业几乎注定发生。Windows 文件服务器其实自带完整的审计能力，配好之后"谁在什么时候对哪个文件做了删除/修改"一查便知。
原因分析
很多人以为查不了，是因为三个环节缺一不可，默认全关着：
- 对象审计策略未开：Windows 默认不记录文件操作，需要先在组策略里启用"审核对象访问"。
- 具体文件夹未配置审核项：策略开了还要在共享文件夹上指定"审计哪些人、哪些操作"，否则照样不记录。
- 没有留存查看手段：事件日志默认滚动覆盖，量大了不导出留存，过阵子就查不到了。
分步解决
第一步，启用审核对象访问策略。 服务器上打开"本地安全策略"（或域控的组策略管理）→ 本地策略 → 审核策略 → “审核对象访问”，勾选"成功"和"失败"。
第二步，给共享文件夹配置审核项（SACL）。 右键共享文件夹 → 属性 → 安全 → 高级 → 审核 → 添加：主体选 Everyone，类型"全部"，勾选"删除"、“删除子文件夹及文件”、“创建文件/写入数据"等关键权限。这样 Everyone 对该目录的删除动作都会进日志。
第三步，验证日志在记录。 删除一个测试文件，然后打开"事件查看器” → Windows 日志 → 安全，筛选事件 ID 4663（对象访问），能看到刚才那次删除的用户名、进程和文件路径。
第四步，做好日志留存。 安全日志默认容量有限（几百 MB），把日志上限调到 1 GB 以上，并定期用脚本或日志工具导出归档；有条件的把安全日志转发到专门的日志服务器集中保存。
预防
- 审计是"事后追责"，权限是"事前防错"：按部门最小化授权，普通用户不给删除权限，能挡掉大部分事故。
- 每季度抽查一次审计日志是否还在正常滚动记录，防止策略被人改动后失效。
- 文件服务器的审计部署、权限规划与日志留存方案，诚鑫致达科技可以提供整套落地实施。
企业存储选型参考｜贵州诚鑫致达
做分支办公与入门升级，群晖机型参考：DS725+ · DS423+ · DS220+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。
服务区域｜贵州诚鑫致达
贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。湖南长沙企业级存储与数据备份，IT 集成服务。