windows权限审计需实现“查得准、留得住、看得懂”，核心是逻辑闭环：权限可追溯、行为可回放、报表可决策；accesschk精准定位高危权限，winpeas分层扫描风险，fsrm配额报表结合对象访问审核验证行为，sudo for windows填补操作级审计空白。
windows权限审计不是装个工具点几下就完事，关键在“查得准、留得住、看得懂”。工具只是手段，逻辑闭环才是核心——权限配置要可追溯，操作行为要可回放，报表输出要能支撑决策。
AccessChk：精准定位高危权限的命令行利器
它不依赖图形界面，直接读取ACL（访问控制列表），适合批量检查和脚本集成。重点用在服务、注册表、文件系统三类对象上：
- 查服务写入风险：
accesschk.exe -cw *，快速筛出允许非管理员修改配置的服务（如SSDPSRV），这类服务可能被劫持提权 - 查特定用户权限：
accesschk.exe administrators -cu AppXSvc，确认是否具备SERVICE_ALL_ACCESS等过度权限 - 查注册表键安全：
accesschk.exe -kns "Authenticated Users" hklm\software，发现被低权限组广泛写入的关键路径
输出结果里带RW或WD标识的条目需优先处理，对应“写入”“删除”类高危操作权限。
WinPEAS：自动化漏洞扫描与权限基线比对
它不是单纯罗列权限，而是按风险等级分层输出，帮你聚焦真正要管的地方：
- 用户权限模块会列出所有本地管理员、密码永不过期账户、登录后自动提升权限的组策略设置
- 服务模块不仅显示服务状态，还检查二进制路径是否可写、服务账户是否为高权限账号
- 敏感信息模块会扫描内存、配置文件、注册表中明文存储的密码、API密钥等
建议每周执行一次全盘扫描，导出JSON报告后用脚本比对前后差异，重点关注新增的特权组成员或异常服务启动项。
FSRM配额报表：用量分布+行为审计的组合验证
配额本身不等于审计，但配额报表配合对象访问审核，就能回答“谁占了最多空间”和“他最近做了什么”两个问题：
- 用FSRM生成【大文件】或【配额使用情况】报告，存到
C:\StorageReports，支持CSV导出便于Excel分析 - 必须同步开启“审核对象访问”策略，并对共享目录启用详细审核（如“写入属性”“删除子文件夹”）
- 在事件查看器中关联筛选：先按用户查配额报告中的高占用者，再用该用户名过滤安全日志中的事件ID 4662（对象访问）和4670（权限变更）
比如某用户突然占用激增，报表显示他存了大量临时文件，日志则可能显示这些文件是通过未授权脚本批量创建的——这就把用量异常和行为异常串起来了。
本地安全策略与Sudo for Windows：操作级审计落地
普通用户执行管理员操作时，传统UAC弹窗不留痕。Sudo for Windows填补了这个空白：
- 启用后所有
sudo命令都会写入专用日志路径：应用程序和服务日志 → Microsoft → Windows → Sudo → Admin - 每条记录含时间戳、执行用户、完整命令行、输入/输出重定向状态，支持直接导出CSV
- 搭配本地安全策略审计（事件ID 4719、4697），可形成“策略改了没→谁改的→改后谁用了”完整链条
注意：Sudo功能需Windows 11 build 26045+，且必须在组策略中明确授予目标用户“管理审核和安全日志”权限，否则日志无法写入。
