必须分两层配置：先启用基础审核策略（登录、账户、特权等五项成功/失败），再通过高级策略细化子类并配置sacl，否则日志漏记；最后验证事件id、gpresult报告及日志空间。
用组策略管理 windows 安全事件审计策略，核心是分两层配置：先打开系统级审核开关，再按需细化到具体行为或资源。不配全这两步，日志就可能漏记——比如开了“审核对象访问”，但没给文件夹设 sacl，4663 事件根本不会出现。
启用基础审核策略（覆盖登录、账户、权限等）
这是所有审计的起点，适用于大多数单机或域内终端：
- 运行 gpedit.msc，导航至「计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 审核策略」
- 双击以下五项，全部勾选「成功」和「失败」：
• 审核登录事件
• 审核账户登录事件
• 审核账户管理
• 审核特权使用
• 审核策略更改 - 改完不用重启，执行 gpupdate /force 立即生效
启用高级审核策略（精准控制子类与触发条件）
基础策略粒度粗，高级策略能单独开关子项，避免日志爆炸，也支持与 SACL 联动：
- 路径：「计算机配置 → Windows 设置 → 安全设置 → 高级审核策略配置 → 系统审核策略」
- 重点启用并勾选「成功/失败」的子类：
• 登录/注销 → 「登录」+「账户登录」
• 对象访问 → 「文件系统」+「文件共享」
• 特权使用 → 「特权使用」
• 详细跟踪 → 「进程创建」 - 注意：若要审计文件操作，必须同时确保「审核对象访问」在基础策略中已启用，否则高级策略里的「文件系统」不会生效
为文件/文件夹配置 SACL（真正记录谁动了什么）
仅开策略不等于有日志。SACL 是写在资源上的“审计指令”，告诉系统：“对这个文件夹，只要 Everyone 写入，就要记一条 4663”：
- 右键目标文件夹 →「属性」→「安全」→「高级」→ 切换到「审核」选项卡 →「添加」
- 选择主体（如 Everyone 或指定用户组）
- 在权限列表中，只勾你要监控的操作，例如：
• 读取数据/列出目录（对应打开、复制）
• 写入数据/添加文件（对应编辑、保存）
• 删除子文件夹和文件（含删除动作） - 每项右侧必须是「仅审核」，且分别勾「成功」和/或「失败」
- 务必勾选「替换所有子对象的可审核项」，否则子文件夹和文件不继承
验证与维护关键点
配置完别直接收工，三件事必须做：
- 查日志是否生成：打开「事件查看器 → Windows 日志 → 安全」，筛选 ID 4624（成功登录）、4625（失败登录）、4663（文件访问）
- 确认策略已落地：在客户端运行 gpresult /h report.html，检查报告中「应用的 GPO」是否包含你配置的策略
- 管好日志空间和保留期：右键「安全」日志 →「属性」，设置最大日志大小（建议 ≥1GB），勾选「按需覆盖事件」或「不覆盖事件（手动清除）」，并确保磁盘有足够空间
