powershell可高效自动化配置windows审计策略，但需分步验证、聚焦关键事件并保障持久性与日志可用性；须先auditpol查基线、用mdi生成报告、audix部署增强策略、脚本化常用命令，并验证固化生效。
powershell可以高效自动化配置windows系统的审计策略，但不能“一键全开”——必须分步验证、聚焦关键事件类别，并优先保障策略持久性和日志可用性。直接硬编码启用所有审计项不仅低效，还容易因子类别依赖缺失导致策略不生效。
先检查现状，再决定改什么
盲目配置前，务必获取当前审计策略基线：
- 运行 auditpol /get /category:* 查看全局启用状态
- 用微软 Defender for Identity 模块 生成可视化报告：
New-MDIConfigurationReport -Path "C:AuditReport" -Mode LocalMachine -OpenHtmlReport
报告会明确标出缺失项（如“Logon/Account Logon”未启用）、冲突项和策略继承关系 - 对域环境，加 -Mode Domain -Identity "DOMAINAdmin" 参数从GPO中读取真实生效策略
用 audix 工具快速部署增强型审计
Audix 是专为审计策略设计的轻量级 PowerShell 工具，适合蓝队和安全加固场景：
- 自动备份原有策略（生成 .bak 文件），支持异常时回退
- 一键应用预设的高检出率策略集，例如：
启用 Process Creation、Account Management、Detailed Tracking 等关键类别 - 强制写入子类别设置（如“Process Creation”的“Create Process”子项），避免 Windows 默认只设父类而子类仍为“无审核”
- 同步调整安全日志大小（默认仅20MB，易被覆盖）：
wevtutil sl Security /ms:512MB
手动封装关键 auditpol 命令为可复用脚本
以下命令可保存为 enable_audit.ps1，以管理员身份运行：
- 登录与注销：
auditpol /set /category:"Logon" /success:enable /failure:enable - 特权使用（如提权操作）：
auditpol /set /category:"Privilege Use" /success:enable - 对象访问（如敏感文件被打开）：
auditpol /set /category:"Object Access" /success:enable /failure:enable - PowerShell 活动专项审计（防范无文件攻击）：
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging" -Name "EnableScriptBlockLogging" -Value 1 -Force
确保策略真正落地且持续有效
配置完不等于生效，还需验证与固化：
- 立即验证是否写入：
auditpol /get /subcategory:"Process Creation" —— 确认返回 “Success and Failure: No” 变为 “Yes” - 防止组策略刷新后被覆盖：若在域环境中，需将 auditpol 设置导出为 GPO 兼容格式
使用 secedit /export /cfg audit_policy.inf /areas SECURITYPOLICY，再通过 GPO 导入 - 日志服务必须运行：
Start-Service EventLog; Set-Service EventLog -StartupType Automatic
