windows事件查看器不能直接创建审计触发规则，其功能限于查看日志；真正控制审计行为的是组策略中的审核策略，需先启用对应策略（如对象访问、账户登录等），再通过自定义视图筛选或任务计划程序实现事件触发动作。
windows 事件查看器本身不支持直接“创建审计触发规则”，它是一个日志查看和筛选工具，而非主动策略配置界面。真正定义“何时记录哪些操作”的是 windows 的本地或组策略中的审核策略（audit policy）。事件查看器的作用是：显示这些策略启用后产生的日志，并可通过自定义视图或订阅式事件转发实现类似“触发”效果——比如匹配特定事件id、用户、操作类型后自动提醒或归档。
先开启对应审计策略（前提条件）
没有启用底层审核，事件查看器里就不会有相关记录，更谈不上触发。需通过组策略启用具体审计项：
- 打开 gpedit.msc（本地组策略）或组策略管理控制台（域环境）
- 定位到：计算机配置 → Windows 设置 → 安全设置 → 高级审核策略配置 → 系统审计策略
- 根据需求启用，例如：
• 对象访问（监控文件/注册表读写）
• 账户登录（记录交互式或网络登录成功/失败）
• 特权使用（如添加用户到管理员组、修改时间等敏感操作） - 注意：部分策略需配合资源SACL（如文件夹右键→属性→安全→高级→审核）才能生效
用自定义视图快速聚焦关键事件
这虽不是实时“触发”，但能大幅简化人工巡查，相当于静态过滤规则：
- 在事件查看器中右键“自定义视图”→“创建自定义视图”
- 勾选要包含的日志（如 Windows 日志 → 安全）
- 点击“XML”→勾选“按XML筛选”，粘贴类似以下内容（示例：筛选所有失败的登录尝试）：
保存后，该视图只显示匹配的事件，可设为收藏夹或定期打开检查。
用任务计划程序实现“事件触发动作”
这是最接近“触发规则”的方案：当特定事件写入日志时，自动运行脚本、发邮件或记录到文件：
- 在事件查看器中找到目标事件（如ID 4728：用户加入安全组）→ 右键 → “将此事件作为任务附加…”
- 选择“创建基本任务”，填写名称，下一步选择“当事件被记录时”
- 在“选择日志”中指定日志路径（如 Security），输入事件ID（如 4728）
- 后续步骤中选择操作：启动程序（如 PowerShell 脚本）、发送电子邮件（需SMTP配置）、显示消息等
- 脚本示例（PowerShell）：获取事件详情并写入文本文件：
$event = Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4728} -MaxEvents 1
Out-File -InputObject $event -FilePath C:\audit\group_add.log -Append
进阶：事件订阅与中心化响应
适用于多台服务器/客户端统一监控：
- 在中央服务器上启用“事件收集器”服务
- 在目标机器上配置“订阅”，推送指定事件（如安全日志中 EventID 4670 权限变更）到中心
- 结合 PowerShell 或 SIEM 工具（如 Elastic Stack、NXLog）对收到的事件做实时匹配、告警或联动处置
- 优势：避免逐台配置，支持复杂条件组合（如“同一用户1分钟内连续5次登录失败”）
不复杂但容易忽略：所有审计动作都依赖权限与策略生效顺序。确保组策略已刷新（gpupdate /force），且目标账户有足够权限读取安全日志（默认仅 Administrators 和 Event Log Readers 组）。
