windows安全审计日志发挥实效需闭环管理：采集要精准启用高风险审核策略，汇总须集中加密传输，分析应聚焦关键事件id告警，留存需扩容禁覆盖并长期归档。
windows 安全审计日志要真正发挥合规与防护作用，关键不在“有没有记录”，而在“能不能收全、看得清、告得准、留得住”。这需要一套覆盖采集、汇总、分析、留存四个环节的闭环策略，而不是零散配置几个审核项。
启用精准有效的审核策略
安全日志的价值起点是“该记的都记下来”，但不能盲目全开。重点应落在高风险行为上：
- 必须启用“审核账户登录事件”（成功+失败），这是识别暴力破解、横向移动的基础
- 启用“审核账户管理”（成功+失败），捕获新建/删除用户、重置密码、加域管理员等关键操作
- 启用“审核目录服务访问”，配合在AD中为OU或用户对象手动配置SACL，才能记录DCSync、LDAP查询等域控级敏感动作
- 启用“审核特权使用”，追踪SeDebugPrivilege、SeRestorePrivilege等高危权限调用
- 启用“审核策略更改”，防止攻击者悄悄关闭审计或修改GPO
注意：这些策略必须通过域级组策略（如Default Domain Controllers Policy）配置，本地gpedit.msc对域控制器无效。
强制集中收集与可靠传输
本地日志极易被删改、容量小、无法关联分析。必须将日志从每台终端和服务器实时推送到中央平台：
- 推荐使用Windows事件转发（WEF）：在域控制器启用WinRM，在专用收集服务器部署Event Collector服务，建立订阅关系
- 若对接SIEM（如Microsoft Sentinel、Splunk），可用NxLog或OSSec将Windows日志转为Syslog格式，或直接调用WEC API接入
- 传输过程需加密（如HTTPS或TLS封装），避免日志内容在途中被截获或篡改
- 禁用“按需要覆盖事件”，改为保留180天以上——等保2.0、GDPR均要求可追溯周期不低于6个月
设置合理日志容量与防丢机制
默认512KB的安全日志大小在真实环境中几小时就满，导致关键事件被覆盖。这不是存储问题，而是策略缺陷：
- 域控制器安全日志建议设为2048MB起步，中大型环境建议4096MB或更高
- 右键“安全”日志→属性→取消勾选“日志满时覆盖事件”，确保日志写满后停止写入而非覆盖旧记录
- 定期检查C盘剩余空间，日志增长极快；若发现Get-WinEvent -LogName Security无新事件，优先排查磁盘空间和覆盖策略
- 应用日志、系统日志可设为自动轮转，但安全日志必须人工干预清理，且需先归档再删除
构建可操作的监控与告警规则
日志堆在那里不分析，等于没收集。监控要聚焦真实威胁信号：
- 对事件ID 4625（登录失败）、4776（凭据验证失败）设置阈值告警，例如5分钟内≥10次失败即触发邮件
- 监控4732（加入本地组）、4728（加入全局组）、4756（加入通用组），识别非授权提权行为
- 重点关注4662（DCSync请求）、4719（审核策略变更）、1102（清除安全日志），这些事件本身就意味着高危动作
- 结合时间、源IP、账户类型做上下文过滤，比如非工作时间+域管理员账户+非常规IP的4720（新建用户）应立即告警
不复杂但容易忽略
