windows安全日志需启用登录/注销、账户管理、特权使用、对象访问及进程跟踪等审计策略，配置防篡改存储与远程转发，并结合sysmon增强检测，定期巡检关键事件id以实现有效溯源与响应。
windows 系统安全性检查的核心之一，是有效收集、分析和保留审计日志。日志本身不提升安全，但它是发现异常行为、追溯攻击路径、满足合规要求的关键证据。
启用关键安全审计策略
默认情况下，Windows 并未开启全部审计项，需手动配置才能记录登录、对象访问、特权使用等关键事件。重点应启用以下策略（通过“组策略编辑器”→ 计算机配置 → Windows 设置 → 安全设置 → 高级审核策略配置）：
- 登录/注销：记录交互式、网络、远程桌面等所有登录尝试（成功与失败）
- 账户管理：监控用户/组创建、删除、重命名、密码重置等操作
- 特权使用：追踪如“SeDebugPrivilege”“SeRestorePrivilege”等高危权限的调用
- 对象访问（含文件/注册表）：对敏感目录（如 C:\Windows、域控制器 SYSVOL）或关键注册表项启用详细审核
- 进程跟踪：启用“进程创建”审计，便于关联恶意程序执行行为
确保日志存储可靠且防篡改
事件日志默认存于本地，易被攻击者清除。必须采取防护措施：
- 将安全日志最大大小设为至少 1GB（避免频繁覆盖），并配置“日志满时覆盖旧事件”为“不覆盖事件（清除日志前需手动归档）”
- 启用 Windows Event Forwarding（WEF），将关键日志实时转发至专用日志服务器（如 Windows Server with SIEM 或 ELK）
- 对域环境，统一通过组策略部署日志转发规则，并使用证书认证确保传输可信
- 定期导出重要日志（.evtx 格式）并离线归档，同时校验哈希值以验证完整性
日常检查与快速排查要点
不是等出事才看日志。建议每周执行一次基础巡检：
- 在“事件查看器”中筛选“安全”日志，重点关注 ID 4625（登录失败）、4670（权限变更）、4688（新进程创建）、4697（计划任务创建）
- 检查是否存在大量连续失败登录（ID 4625），尤其来自非常规 IP 或非工作时间
- 核查是否有非管理员账户触发特权操作（ID 4672）、或普通用户获得敏感组成员资格（ID 4732）
- 比对最近 24 小时内新增的服务、计划任务、启动项（结合 ID 4697、4698、4688 及 Sysmon 日志更佳）
配合 Sysmon 提升检测深度
Windows 自带审计日志较粗粒度。部署 Sysmon（Microsoft 官方免费工具）可补充进程命令行、网络连接、DLL 注入、WMI 活动等细节：
- 安装后加载推荐配置（如 SwiftOnSecurity 的 sysmon-config）
- Sysmon 日志独立存于 “Microsoft-Windows-Sysmon/Operational”，需一并纳入集中收集范围
- 重点关注事件 ID 1（进程创建，含完整命令行）、3（网络连接）、7（DLL 加载）、12/13/14（注册表操作）
- 将 Sysmon 与 Windows 安全日志时间戳对齐，交叉分析可快速定位横向移动或持久化行为
不复杂但容易忽略：日志有了，得有人看；策略开了，得定期验。真正的安全不是堆功能，而是让每条日志都具备可解释、可回溯、可联动的价值。
