windows安全审计需分层配置：基础策略启用9类核心事件，高级策略细化子项，sacl绑定具体资源；家庭版不支持，仅专业版及以上可用。

windows 组策略中的安全审计策略不能只“开开关”，必须分层配置、联动生效：基础策略启用大类，高级策略细化子项，sacl绑定具体资源，三者缺一不可。家庭版不支持这些功能，仅专业版、企业版和服务器系统可用。

基础审核策略（本地组策略）

适用于单机或非域环境，覆盖9个核心行为类别，粒度较粗但必须先启用：

• 按 Win + R 输入 gpedit.msc 打开组策略编辑器
• 导航至：计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 审核策略
• 双击以下五项，全部勾选成功和失败：
  • 审核账户登录事件（记录域控/Kerberos认证）
  • 审核登录事件（记录本地交互式、远程桌面等登录）
  • 审核对象访问（开启后SACL才起效，必开）
  • 审核特权使用（如提权、密码重置操作）
  • 审核策略更改（防他人关闭审计本身）

高级审核策略（精细化控制）

替代传统策略，按子类独立启停，避免日志爆炸，推荐作为主力配置：

windows-shell-syntax

在 Windows 上执行终端命令，或对比 Windows 与 Linux 的 Shell 语法时使用。建议先检测当前 Shell 是 PowerShell 还是 cmd.exe，再给出相应命令……

下载

• 路径：计算机配置 → Windows 设置 → 安全设置 → 高级审核策略配置 → 系统审核策略
• 逐项双击启用，并勾选成功和失败：
  • 登录/注销 → 启用“账户登录”和“登录”
  • 对象访问 → 启用“文件系统”“文件共享”“注册表”
  • 特权使用 → 启用“特权使用”
  • 详细跟踪 → 启用“进程创建”（记录exe启动）
• 注意：若同时启用传统策略与高级策略，需在安全选项中启用“强制审核策略子类别设置”，否则高级策略可能被忽略

对象级访问审计（SACL绑定）

仅启用策略还不够，必须为具体文件、文件夹或注册表项手动添加审核条目，才能捕获实际访问行为：

• 右键目标文件夹 → 属性 → 安全 → 高级 → 审核 → 添加
• 选择用户或组（如 Everyone 或特定安全组）
• 勾选具体权限类型：读取、写入、删除、修改所有权、更改权限等
• 适用范围建议选：此文件夹、子文件夹和文件
• 关键前提：上一步的“审核对象访问”策略必须已启用，否则该SACL完全无效

域环境统一部署（GPO）

在AD域中，应通过域控制器上的GPO集中管理，确保策略一致性：

• 以域管理员身份打开组策略管理控制台（GPMC）
• 编辑目标GPO（如 Default Domain Controllers Policy 或专用策略）
• 路径同上：计算机配置 → 策略 → Windows 设置 → 安全设置 → 高级审核策略配置
• 配置完成后，在客户端执行 gpupdate /force 强制刷新
• 用命令 auditpol /get /category:* 查看当前生效的审核状态