要让Windows防火墙规则变更留下可查、可追溯的审计日志，关键在于启用“审核策略更改”和“审核对象访问”两类安全事件审核策略，对应捕获事件ID 4902、4906、4946、4947等安全日志，并配置日志大小、保留周期及权限，辅以PowerShell基线比对实现自动化审计。
要让 windows 防火墙规则变更留下可查、可追溯的审计日志，关键不是“开不开日志”，而是启用正确的日志类型 + 配置对应的审核策略。系统默认不记录规则修改行为，必须主动开启安全事件审计，才能捕获谁、何时、改了哪条规则。
启用安全事件审核策略（核心步骤）
防火墙规则变更属于系统策略操作，由 Windows 安全子系统记录为“安全事件”，不是防火墙日志（pfirewall.log）能覆盖的内容。需通过组策略启用两类审核：
- “审核策略更改”：记录新建、启用/禁用、删除、修改防火墙规则的操作
- “审核对象访问”：配合注册表或 WFP 日志，辅助识别规则关联的网络对象（如端口、IP 范围）
操作路径：gpedit.msc → 计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 审核策略，勾选上述两项的“成功”和“失败”。
定位规则变更对应的安全事件ID
启用审核后，所有防火墙规则操作会写入Windows 日志 → 安全，重点关注以下事件ID：
- 事件ID 4902：防火墙规则存储已创建（首次配置或重置规则集）
- 事件ID 4906：安全中心策略被修改（含防火墙开关状态变更）
- 事件ID 4946：网络连接策略（即防火墙规则）被添加、修改或删除
- 事件ID 4947：某条具体规则被更新（含 DisplayName、Enabled、Profile、Direction 等字段变化）
- 事件ID 5157：虽属连接拦截事件，但其 FilterName 字段可反推触发的规则名，用于验证规则是否生效
建议在事件查看器中右键“安全”日志 → “筛选当前日志”，输入 4902,4906,4946,4947 快速聚焦变更记录。
Windows 开机自启并隐藏到系统托盘
下载
让 Windows 桌面程序在开机时静默自启并隐藏到系统托盘。特别适用于 Flutter、Electron 等无视 VBS/ProcessStartInfo 窗口样式、难以隐藏的顽固应用。提供「VBS 启动器 + Python ctypes/Win32 API」的隐藏窗口方案，可稳定把窗口收进托盘且不闪控制台。
确保日志留存与可用性
安全日志容易被覆盖或清空，直接影响审计有效性：
- 右键“安全”日志 → “属性”，将“日志最大大小”设为 ≥20480 KB（20MB），并勾选“按需要覆盖事件”或“不覆盖事件（手动清除）”
- 推荐保留周期 ≥90 天；生产环境建议导出至 SIEM 系统（如 Splunk、ELK）集中存储，防篡改
- 检查日志文件权限：确保 Administrators 和 SYSTEM 有完全控制权，普通用户无写入/删除权限
补充：自动化比对基线提升审计效率
单靠人工翻日志难发现细微变更，建议搭配 PowerShell 做定期快照比对：
- 用 Get-NetFirewallRule | Export-Clixml baseline.xml 保存当前规则基线
- 定时运行脚本获取新快照，用 Compare-Object 对比 DisplayName、Enabled、Direction、LocalPort 等关键属性
- 发现差异时自动邮件告警，并附上变更前后的规则详情及对应事件ID时间戳
这类脚本可结合任务计划程序每小时执行一次，真正实现变更可见、可溯、可响应。
