必须修改默认域控制器策略而非本地策略，因AD日志审计需通过域级GPO统一配置；启用五项审核策略并为OU/用户对象手动添加SACL；安全日志大小应设为2GB以上且禁用覆盖。
必须改默认域控制器策略，别碰本地策略
域控制器的日志审计策略不能靠本地组策略（gpedit.msc）配置，那是对单机生效的；dc上所有关键行为（比如账号登录、ou移动、密码重置）必须通过域级gpo统一管控，否则日志根本不会记录ad层面的操作。实际中很多人在dc本机开gpedit.msc去设“审核账户登录事件”，结果查eventvwr.msc里全是空的——因为没走域策略，ad ds根本不认。
实操建议：
- 用域管理员账号打开
GPMC.msc（组策略管理控制台），定位到Default Domain Controllers Policy→ 右键“编辑” - 路径：计算机配置 → 策略 → Windows 设置 → 安全设置 → 本地策略 → 审核策略
- 必须启用这五项（勾选“成功”和“失败”，除非有明确合规豁免）：
审核账户登录事件、审核账户管理、审核目录服务访问、审核特权使用、审核系统事件 - 特别注意：
审核目录服务访问光开策略还不够，还得进Active Directory Users and Computers，给目标OU或用户对象手动加SACL（高级安全设置 → 审核 → 添加域控制器计算机账户，勾选“成功”“失败”+“Directory Service Access”）
安全日志大小和覆盖策略不调，等于没开审计
Windows默认安全日志只有512KB，且开启“日志满时覆盖事件”。一台中等规模域控，不到2小时就刷满并开始覆盖——你刚发现异常登录，日志早被新事件顶掉了。这不是容量问题，是策略失效。
实操建议：
- 进
eventvwr.msc→ 左侧展开“Windows 日志” → 右键“安全” → “属性” -
最大日志大小设为2048MB（2GB）起步，大环境建议4096MB；磁盘空间不足时优先清空Application或System日志，绝不动安全日志 - 务必取消勾选
将审核日志满时覆盖事件（这个选项名字有误导性，它实际是“允许覆盖”，关掉才真正禁用自动覆盖） - 检查C盘剩余空间：安全日志增长极快，
Get-WinEvent -LogName Security -MaxEvents 1能快速确认是否还在写入；若日志停止更新，先看磁盘是否
只看本地事件查看器，监控就永远滞后
等你登录DC手动翻eventvwr.msc，攻击者可能已经导出ntds.dit了。真实对抗场景下，关键事件必须秒级告警：比如1小时内出现3次4662（DCSync请求）、非工作时间触发4738（用户账户修改）、或4720（新建用户）来自非常规IP。
实操建议：
- 用Windows原生方案：在DC上运行
winrm quickconfig，然后在专用收集服务器（如Win Server 2022）启用Windows Event Collector服务，创建订阅把DC的Security日志实时拉走 - 对接SIEM更可靠：用
NxLog或OSSec把DC日志转成Syslog发往Elastic/Splunk/Sentinel；重点建规则匹配Event ID 4662+Operation Type: DirSync，这是DCSync最直接的痕迹 - 别依赖“成功/失败”字段：有些恶意操作（如PowerShell远程会话）只记
4103或4104，需额外开启PowerShell模块日志记录（GPO路径：计算机配置 → 管理模板 → Windows组件 → Windows PowerShell →启用模块日志记录，模块名填*）
不验证，就永远不知道策略有没有真生效
改完GPO、调完日志大小、配好转发，不代表万事大吉。常见失效点：GPO未强制刷新（gpupdate /force只对用户策略有效，计算机策略需重启或等90分钟）、SACL没继承到子对象、防火墙拦了5985（WinRM）端口导致WEC收不到日志。
实操建议：
- 立刻验证：用普通域用户账号在DC上执行一次错误密码登录，然后在DC本地查
Get-WinEvent -FilterHashtable @{LogName='Security';ID=4625} -MaxEvents 1，有输出才算策略落地 - 查策略是否应用：
gpresult /h report.html生成HTML报告，搜索“Default Domain Controllers Policy”确认状态是“已应用” - 查SACL是否生效：在
adsiedit.msc里找到目标用户对象 → 右键属性 → “安全性”选项卡 → 切换到“高级” → 看“审核”页签下是否有DC计算机账户条目，且权限包含DS-Replication-Get-Changes
最容易被忽略的是时间同步——所有DC必须严格NTP校时，否则WEC/SIEM收到的日志时间戳错乱，关联分析直接失效。别等告警不准了才想起来查w32tm /query /status。
