FSRM不审计文件内容或用户操作，仅记录被文件屏幕拦截的保存尝试；需手动启用审核功能，生成“文件屏幕审核文件”报告，结合配额与分类可提升审计针对性，但仅基于扩展名且有存储与配置限制。

fsrm 本身不直接审计“文件内容”或“用户操作行为”，但它能有效审计用户尝试保存被屏蔽文件类型的违规动作——这是它最常用、最实用的审计场景。

文件屏蔽审核必须手动启用

默认情况下，FSRM 不记录任何文件屏蔽事件。要生成审计数据，必须显式开启审核功能：

• 打开 FSRM MMC 控制台 → 右键“文件服务器资源管理器” → “配置选项”
• 切换到“文件屏幕审核”选项卡
• 勾选“在审核数据库中记录文件筛选活动”
• 设置默认时间范围（如 30 天）和默认用户范围（可留空表示全部用户）
• 点击“确定”保存

启用后，所有被文件屏幕拦截的保存请求（如上传 .mp3、.exe、.zip 等受控扩展名）都会写入本地审核数据库，供后续报告调用。

生成并查看违规审计报告

审核数据只有通过报告才能直观呈现。常用报告类型是“文件屏幕审核文件”（FileScreenAuditFiles）：

• 在 FSRM 控制台中，展开“存储报告管理” → 右键“所有报告” → “生成报告”
• 选择“文件屏幕审核文件”模板
• 可指定时间范围、目标文件夹路径、涉及用户（若之前未设默认值）
• 运行后，报告会列出每次违规的详细信息：用户名、客户端 IP、时间、被拦截文件名、触发的文件屏幕名称、所在路径

该报告不显示文件内容，也不记录成功上传的文件——只记录被阻止那一刻的尝试行为，正因如此，它轻量、可靠，且天然具备取证价值。

结合配额与分类提升审计针对性

单纯靠文件屏蔽审计容易产生大量低风险告警（比如测试用的 .txt 文件被误配规则拦截）。建议联动其他模块增强实效性：

• 对“个人共享文件夹”等高风险区域单独设置严格文件屏幕（如禁用 .pdf、.xlsx），再配合配额限制（如每人 5GB），让审计聚焦真实业务场景
• 用文件分类基础结构标记“敏感文档”（如含“合同”“薪资”字样的文件），再创建文件管理任务：当某类文件被多次尝试上传至非授权位置时，自动发送邮件告警
• 启用“拒绝访问协助”功能，让用户收到清晰提示（如“您无法保存此文件，因公司政策禁止存储可执行程序”），既降低投诉率，也强化合规意识

这些组合不增加日志量，但显著提升审计结果的业务相关性和响应效率。

注意事项与常见问题

实际部署中需留意几个关键限制：

• FSRM 审计仅基于文件扩展名，无法识别伪装后缀（如 renamed.pdf.exe）或内容特征，不能替代 DLP 解决方案
• 审核数据库默认存于系统盘，长期运行可能占满空间；建议定期导出报告后清空，或通过 PowerShell 脚本自动归档
• 若报告为空，请先确认：文件屏幕是否已启用“日志严重性级别”为“警告”或更高；组策略是否禁用了对象访问审核；目标文件夹是否位于 NTFS 卷上
• 错误日志不在事件查看器中，而保存在 C:\Windows\System32\LogFiles\ 下以 FSRM 或 SRM 开头的文本文件里，排查配置失败时应优先查阅