วิธีเปิด Audit Policy บน Windows Server 2022 เพื่อตรวจสอบเหตุการณ์ด้านความปลอดภัย

Audit Policy เป็นหนึ่งในเครื่องมือด้าน Security ที่สำคัญที่สุดของ Windows Server 2022 เพราะช่วยบันทึกทุกเหตุการณ์สำคัญที่เกิดขึ้นในระบบ ไม่ว่าจะเป็นการ Login, การเปลี่ยนสิทธิ์ผู้ใช้, การเข้าถึงไฟล์ หรือการแก้ไขนโยบายความปลอดภัย

หลายองค์กรติดตั้ง Windows Server 2022 เสร็จแล้วใช้งานทันที โดยไม่ได้เปิด Audit Policy อย่างเหมาะสม ทำให้เมื่อเกิดเหตุการณ์ผิดปกติ เช่น การโจมตีจาก Hacker หรือการลบข้อมูลสำคัญ กลับไม่สามารถตรวจสอบย้อนหลังได้

บทความนี้จะอธิบายวิธีเปิด Audit Policy บน Windows Server 2022 พร้อมแนวทาง Security Best Practices สำหรับองค์กร

🔍 Audit Policy คืออะไร

Audit Policy คือระบบบันทึกเหตุการณ์ (Security Auditing)

หน้าที่หลัก

• บันทึกการ Login

• บันทึกการ Logout

• บันทึกการเปลี่ยนสิทธิ์

• บันทึกการเข้าถึงไฟล์

• บันทึกการเปลี่ยนนโยบาย

ช่วยให้ผู้ดูแลระบบสามารถตรวจสอบเหตุการณ์ย้อนหลังได้

🛡️ ทำไมต้องเปิด Audit Policy

หากไม่มี Audit Log

เมื่อเกิดเหตุการณ์

• Hacker Login สำเร็จ

• User ลบไฟล์

• เปลี่ยน Password

• แก้ไข Group Policy

จะไม่สามารถทราบได้ว่าใครเป็นผู้ดำเนินการ

Audit Policy จึงเป็นพื้นฐานของ Security Monitoring

⚠️ ตัวอย่างเหตุการณ์ที่ Audit Policy ตรวจจับได้

• Login Success

• Login Failed

• Account Lockout

• File Access

• Group Membership Change

• Password Change

• Policy Change

• Privilege Escalation

ทั้งหมดสามารถตรวจสอบย้อนหลังได้

🚀 วิธีเปิด Audit Policy ผ่าน Local Security Policy

กด

Windows + R

พิมพ์

secpol.msc

กด Enter

📂 ไปยัง Audit Policy

เลือก

Security Settings

จากนั้น

Local Policies

และ

Audit Policy

จะพบรายการ Audit ต่าง ๆ

🔐 Audit Logon Events

เปิด

Audit Logon Events

เลือก

Success

และ

Failure

เพื่อบันทึกการ Login ทุกครั้ง

👤 Audit Account Logon Events

เปิด

Audit Account Logon Events

ใช้ติดตามการยืนยันตัวตนกับ Domain Controller

เหมาะสำหรับ Active Directory

🔒 Audit Account Management

เปิด

Audit Account Management

ช่วยตรวจสอบ

• สร้าง User

• ลบ User

• เปลี่ยน Password

• เปลี่ยน Group

📁 Audit Object Access

เปิด

Audit Object Access

ใช้สำหรับ

• File Server

• Shared Folder

• ข้อมูลสำคัญ

สามารถตรวจสอบว่าใครเปิดหรือแก้ไขไฟล์ได้

⚙️ Audit Policy Change

เปิด

Audit Policy Change

ช่วยบันทึก

• การแก้ Firewall

• การเปลี่ยน Security Policy

• การเปลี่ยน Audit Settings

🔥 Audit Privilege Use

เปิด

Audit Privilege Use

ใช้ติดตาม

• Administrator Action

• Elevated Privilege

• Special Permission

🏢 Audit Directory Service Access

สำหรับ Domain Controller

เปิด

Audit Directory Service Access

เพื่อติดตามการเข้าถึง Active Directory

🌐 เปิด Audit ผ่าน Group Policy

สำหรับองค์กร

เปิด

gpmc.msc

จากนั้น

Computer Configuration

→

Windows Settings

→

Security Settings

→

Advanced Audit Policy Configuration

เหมาะสำหรับบริหารหลายเครื่องพร้อมกัน

🔎 วิธีตรวจสอบ Event Log

เปิด

eventvwr.msc

เลือก

Windows Logs

จากนั้น

Security

จะพบ Audit Log ทั้งหมด

📋 Event ID ที่ควรรู้

Login Success

4624

Login Failed

4625

Account Lockout

4740

Password Change

4723

User Created

4720

User Deleted

4726

💾 Audit Policy กับ File Server

File Server ควรเปิด

Object Access

และกำหนด Audit บนโฟลเดอร์สำคัญ

เพื่อดูว่า

• ใครเปิดไฟล์

• ใครแก้ไขไฟล์

• ใครลบไฟล์

☁️ Audit Policy กับ Hyper-V

Hyper-V Host ควรบันทึก

• VM Creation

• VM Deletion

• Configuration Change

เพื่อเพิ่มความปลอดภัย

🚨 ข้อผิดพลาดที่พบบ่อย

❌ เปิด Audit มากเกินไป

❌ ไม่ตรวจสอบ Log

❌ ไม่สำรอง Event Log

❌ Log เต็มแล้วไม่รู้ตัว

❌ ไม่ตั้งค่า Retention

ทั้งหมดอาจทำให้ข้อมูลสำคัญสูญหาย

📊 Security Checklist

ตรวจสอบให้ครบ

✅ Logon Audit Enabled

✅ Account Management Enabled

✅ Object Access Enabled

✅ Policy Change Enabled

✅ Security Log Reviewed

✅ Event Log Retention Configured

🏢 แนวทางสำหรับองค์กร

Microsoft แนะนำ

• เปิด Advanced Audit Policy

• ตรวจสอบ Security Log

• เก็บ Log ระยะยาว

• ส่ง Log เข้า SIEM

เพื่อการตรวจสอบที่มีประสิทธิภาพ

ทีมดูแลระบบของ comsiam มักเปิด Audit Policy บน Windows Server 2022 ทุกเครื่อง โดยเฉพาะ Domain Controller และ File Server เพื่อให้สามารถตรวจสอบเหตุการณ์ด้านความปลอดภัยย้อนหลังได้อย่างละเอียด

🚀 Security Best Practices

แนวทางที่แนะนำ

1. เปิด Audit Logon

2. เปิด Account Management

3. เปิด Object Access

4. ตรวจสอบ Event Log ทุกวัน

5. สำรอง Log เป็นประจำ

6. ใช้ SIEM หากเป็นองค์กรขนาดใหญ่

ช่วยเพิ่มความสามารถในการตรวจจับภัยคุกคามได้อย่างมาก

สรุป

Audit Policy เป็นองค์ประกอบสำคัญของ Security Hardening บน Windows Server 2022 เพราะช่วยบันทึกและติดตามเหตุการณ์ด้านความปลอดภัยทั้งหมดที่เกิดขึ้นในระบบ

สำหรับองค์กรและผู้ดูแลระบบของ comsiam การเปิด Audit Policy อย่างเหมาะสมร่วมกับ Event Monitoring และ Security Review อย่างสม่ำเสมอ จะช่วยเพิ่มความสามารถในการตรวจจับภัยคุกคามและวิเคราะห์เหตุการณ์ย้อนหลังได้อย่างมีประสิทธิภาพ