系统安全审计日志方案通过gpo统一下发，涵盖三层协同：一、启用8项基础审计策略（如账户登录、策略更改等），设为成功/失败；二、统一配置日志大小（32768 kb）及覆盖行为；三、补充高级审计（如进程创建、凭据验证、powershell脚本日志等），并需验证策略生效与日志可查性。
直接用组策略对象（gpo）统一下发企业内部通用的系统安全审计日志方案，核心是三层协同：策略启用、日志容量控制、关键事件捕获。不依赖脚本或手动配置，一次部署，全域生效。
一、启用基础审计策略（必须开启的8项）
在GPO编辑器中定位到：
计算机配置 → 策略 → Windows设置 → 安全设置 → 本地策略 → 审核策略
勾选以下8项并设为“成功和失败”（除特别注明外）：
- 审核账户登录事件（成功/失败）——捕获域控及本地登录尝试
- 审核账户管理（成功/失败）——记录用户/组创建、禁用、密码重置等操作
- 审核登录事件（成功/失败）——覆盖交互式、网络、服务登录行为
- 审核对象访问（仅“成功”）——配合资源SACL启用后，才记录文件/注册表访问
- 审核策略更改（成功/失败）——追踪GPO修改、本地安全策略变更等高危动作
- 审核特权使用（仅“失败”）——聚焦提权失败行为（如SeDebugPrivilege滥用）
- 审核系统事件（成功/失败）——监控关机、重启、时间同步、时区变更（ID 1-5-7需重点盯防）
- 审核进程跟踪（仅“成功”）——启用后生成4688事件，用于溯源恶意进程启动
二、统一配置日志大小与覆盖行为
位置不在“审核策略”，而在：
计算机配置 → 策略 → Windows设置 → 安全设置 → 事件日志
分别双击 Application、Security、System 三项进行设置：
- 最大日志大小：设为 32768 KB（32 MB），必须是1024整数倍；Security日志建议不低于20480 KB
- 当达到最大日志大小时：选择 “按需要覆盖事件”（避免日志写入中断）
- 若使用Win Server 2016+，推荐改用路径：
计算机配置 → Administrative Templates → Windows Components → Event Log Service → [对应日志名]，可启用自动存档、限制单文件大小等增强功能
三、补充高级审计（精准捕获攻击痕迹）
启用“高级审核策略配置”，路径为：
计算机配置 → 策略 → Windows设置 → 安全设置 → 高级审核策略配置
重点开启以下项目（默认未启用，但实战价值极高）：
- 详细跟踪 → 进程创建（4688）：必须启用，配合命令行参数记录（需额外开启“Process Creation Command Line Logging”注册表项）
- 账户登录 → 凭据验证（4776）：识别NTLM中继、黄金票据等凭据滥用行为
- 策略变更 → 认证策略修改（4739）：监控Kerberos策略异常调整
- PowerShell → 脚本块日志（4104）+ 模块日志（4103）：防御无文件攻击，需提前在目标机启用PowerShell脚本块日志策略
- 对象访问 → 文件系统（4663）：仅对敏感目录（如SYSVOL、域控制器NTDS.dit所在卷）设置SACL后才生效
四、验证与持续保障
策略下发后，不能只等“生效”，要主动验证：
- 执行 gpupdate /force，再运行 gpresult /h report.html 查看策略是否应用到目标OU
- 打开 eventvwr.msc，检查 Security 日志中是否有新生成的 4624（登录）、4720（用户创建）、4739（策略变更）等事件
- 留意事件ID 104（日志清空） 和 11（日志满警告），确认覆盖策略已起效
- 定期抽查VPS或终端是否出现 时区异常变更（Event ID 1-5-7） 或 SYSVOL中残留明文凭据（注册表路径：HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Group Policy\Preferences）
真正落地的关键，不是堆砌审计项，而是让每条日志可查、可存、可关联。策略配完只是起点，后续需配合SIEM集中收集、KQL规则告警、基线比对，才能把日志变成威胁发现的探针。
