windows dhcp服务器日志不记录用户登录，只审计ip分配行为；需手动启用日志，关注事件id 10/11/14/50等异常，结合mac定位、抓包与交换机表交叉验证，并满足等保2.0等合规要求。
windows dhcp 服务器本身不记录“用户登录”，它的运行状态日志聚焦于ip地址分配行为和服务健康状况。审计重点不是谁登录了系统，而是服务是否稳定、分配是否合规、异常是否可追溯。
确认DHCP服务日志已启用并定位文件
DHCP原生日志默认关闭，必须手动开启才能获取有效审计线索：
- 打开【DHCP控制台】（dhcpmgmt.msc）→ 右键本地服务器 → 【属性】→ 切换到【日志】选项卡
- 勾选“启用DHCP日志记录”，日志级别建议选“信息性”（日常审计够用）或“详细”（排查时启用）
- 日志按天生成，存放在：C:\Windows\System32\dhcp\，文件名如 DhcpSrvLog-Wed.log
- 每行含时间戳、事件ID、客户端ID（通常是MAC）、IP地址、操作类型（分配/续租/释放/拒绝）
关注核心事件ID识别运行异常
日志中关键事件ID直接反映服务运行状态是否正常：
- Event ID 10：无可用地址 → 表明作用域耗尽，需检查排除范围、租约统计、是否遗漏静态设备
- Event ID 11：续租失败 → 常见于IP冲突或客户端离线后地址被重用，应结合ARP表或抓包验证
- Event ID 14：收到DISCOVER但未响应 → 可能因作用域未激活、启用了MAC过滤、或客户端ID被策略拒绝
- Event ID 50：检测到其他DHCP服务器 → 严重风险，表示存在未授权DHCP服务（Rogue Server），须立即物理断网排查
- Event ID 76 / 1020 / 1021：作用域重配置、服务启动/停止 → 用于判断服务是否被意外重启或配置变更
联动多源数据交叉验证运行真实性
单看DHCP日志易误判，必须结合网络层和系统层证据：
- 从日志提取异常MAC，在接入交换机执行 show mac address-table | include [MAC] 定位物理端口
- 检查该端口连的是笔记本、IoT设备，还是私自接入的家用路由器（常见于DHCP泛洪攻击）
- 用Wireshark抓取bootp or dhcp流量，观察谁在响应DISCOVER、提供的网关/DNS是否异常
- 比对Windows安全日志中Event ID 4624（登录）与DHCP日志中同一IP的租约时间——若IP频繁变更但无对应账号登录记录，可能是扫描工具或中间人探测
满足合规要求的增强审计要点
仅靠默认日志无法通过等保2.0、GDPR或《个人信息保护法》审计：
- 时间戳必须精确到秒，且服务器需同步可信NTP源，否则时间不可信
- 除MAC外，应启用并记录Client ID（DHCP Option 61），便于关联主机名或AD账户SID
- 日志需包含作用域名称、保留策略触发标识、分配来源（如是否来自访客VLAN策略）
- 通过Windows Event Forwarding（WEF）或SIEM（如Microsoft Sentinel）集中采集，存储启用WORM与RBAC，管理员不可删改
- 定期生成带数字签名的SHA-256哈希摘要，确保日志内容未被篡改
