windows事件日志安全审计核心是权限控制、策略启用与存储防护：安全日志仅限system和administrators读/清，写入由lsa独占；须用组策略配置标准sddl、启用高级审核（如凭据验证、策略更改）、禁用自动覆盖并重定向存储路径，同时启用日志签名与哈希校验。
windows 事件日志的安全性审计与保护，核心在于“谁能看到、谁能清空、谁不能篡改”。安全日志一旦被未授权修改或删除，就失去了审计价值。因此，必须从权限控制、策略启用、存储防护三方面同步加固。
严格限制日志访问与清除权限
安全日志（Security log）默认只允许SYSTEM和Administrators读取与清除，但写入权限由LSA独占——这是系统强制设计，不可开放给普通用户。若发现非管理员能清空安全日志，说明权限已被弱化。
- 检查当前安全日志SDDL：运行 wevtutil gl Security | findstr "securityDescriptor"，确认输出中不包含低权限用户（如Users、Everyone）的(A;;0x4;;;...)（清除权限位为4）
- 通过组策略统一管控：路径为计算机配置 → 管理模板 → Windows 组件 → 事件日志服务 → 安全，启用“配置日志访问”并填入标准SDDL（如O:BAG:SYD:(A;;0x5;;;SY)(A;;0x5;;;BA)），确保仅SYSTEM和Administrators拥有读+清除权
- 禁用本地注册表手工修改：避免直接编辑HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EventLog\Security\CustomSD，误操作易导致日志服务崩溃
启用精细化高级审核策略
基础审核策略（如“审核登录事件”）粒度粗、日志冗余高；而高级审核策略可精准捕获关键行为，既满足等保要求，又避免日志爆炸。
- 必启子项（成功+失败均勾选）：账户登录 → 凭据验证（捕获4625/4624）、账户管理 → 用户账户管理（捕获4720/4726）、策略更改 → 审核策略更改（捕获4719，防策略被悄悄关闭）
- 禁用无关项：如“进程跟踪”“对象访问（未指定资源）”等，默认开启会显著增加日志量且无实质审计价值
- 验证是否生效：执行 auditpol /get /category，确认对应策略状态为“成功：是，失败：是”
防止日志被覆盖或丢失
默认20MB大小+自动覆盖策略，在攻击者横向移动时极易擦除痕迹。必须延长保留周期，并隔离存储路径。
- 扩大日志容量：用命令设置安全日志上限为1GB：wevtutil sl Security /ms:1073741824
- 禁用自动覆盖：在事件查看器中右键“安全”→属性→取消勾选“按需覆盖事件”，改选“日志满时请存档日志文件”
- 重定向存储位置：将%SystemRoot%\System32\winevt\Logs\Security.evtx移至独立NTFS卷，并对该目录设置仅SYSTEM+Administrators完全控制，拒绝写入继承
建立日志完整性校验机制
即使权限和策略都正确，日志仍可能被离线篡改（如挂载磁盘后修改.evtx）。需引入可信时间戳与哈希校验。
- 启用Windows事件日志签名：注册表路径HKLM\SYSTEM\CurrentControlSet\Services\EventLog\Security下新建DWORD值EnableLogSigning，设为1（需重启服务）
- 每日导出哈希：用PowerShell定时执行 Get-FileHash C:\Windows\System32\winevt\Logs\Security.evtx -Algorithm SHA256，结果存至只读共享目录
- 对接SIEM系统：将日志实时转发至外部SIEM（如Splunk、ELK），利用其不可删改的索引机制形成二次备份
