第1步：如图4-61所示，在【组策略编辑器】窗口中，逐级展开左侧窗口中的【计算机配置/Windows设置/安全设置/本地策略】分支，然后在该分支下选择【审核策略】选项。双击【审核对象访问】选项，在弹出的对话框（图4-62）中将【本地策略设置】框内的【成功】和【失败】复选框都打上勾选标记，然后单击【确定】按钮。审核是基于成功和失败两种情况的。成功是用于记录哪些用户正常地访问了文件，而失败则指出哪些人在没有正确的权限情况下试图访问文件。这有可能是攻击造成的结果，但也有可能是文件系统权限设置得不正确所导致的。推荐要审核的项目是：策略更改、登录事件、对象访问、目录服务访问、特权使用、系统事件、账户登录事件。 注意：NTFS文件系统的支持审核功能，FAT文件系统不支持审核功能。
第4步：在图4-65中，在【应用到】列表中选择希望审核的对象。在【访问】列表中选择希望审核的操作。如果想禁止目录树中的文件和子文件夹继承这些审核项目，将图下方的复选框打上小勾。单击【确定】按钮，然后在弹出的对话框中单击【确定】按钮。第5步：在Inetpub文件夹中新建一个文本文件（这一创建操作会在事件查看器中看到）。第6步：使用事件查看器分析审核信息。审核被开启后，如果不对收集到的信息进行监视，那么这种审核是没有意义的。所以应该有规律的使用事件查看器分析审核的信息。依次选择【开始】/【程序】/【管理工具】/【事件查看器】菜单命令，打开事件查看器，单击左侧的【安全性】，然后在右侧详细信息窗口中，双击要查看的事件，弹出【事件属性】对话框，如图4-67所示，从描述中可知该事件即对应于第5步的创建文本文件操作。对Windows的几种日志类别说明见表4-10：事件查看器显示的事件类型见表4-11：主要的事件组件见表4-12：