停用非必要审计策略可显著降低ssd写入压力与i/o占用。通过gpedit.msc（专业版/企业版）或powershell（家庭版）禁用“对象访问”“详细跟踪”“特权使用”审计，调小安全日志上限至8mb并清空旧日志。
Windows 11默认启用的系统审计策略会持续向安全日志（Security.evtx）写入大量登录、对象访问、特权使用等事件，尤其在域环境或启用了高级安全策略的设备上，单日可产生数百MB日志文件，反复覆盖导致SSD全盘写入压力激增、寿命缩短、后台I/O占用升高。停用非必要审计跟踪是降低磁盘磨损和提升响应速度的有效手段。
确认当前审计策略状态
先查看哪些审计类别正被强制记录，避免盲目禁用关键项：按下Win + R→输入gpedit.msc→回车（注意：【Windows 11家庭版不可用此方法，需跳至“替代方案：通过PowerShell检查”】）→依次展开“计算机配置→Windows设置→安全设置→高级审核策略配置→系统审核策略”→右侧列出全部审计子项。观察各项目“属性”中“审核”列是否勾选“成功”“失败”或两者皆有——已勾选即代表系统正在实时记录。
若发现“对象访问”“详细跟踪”“账户登录”等高频率触发项被启用，且你未部署SIEM或合规审计需求，则这些正是首要停用目标。
停用非必要审计跟踪（组策略法）
该方法适用于专业版/企业版用户，修改后立即生效，无需重启：
① 按下Win + R→输入gpedit.msc→回车；
② 依次导航至：计算机配置→Windows设置→安全设置→高级审核策略配置→系统审核策略；
③ 右键点击以下三项→选择“属性”→将“审核”下所有复选框清空→点击“确定”：
• 对象访问
• 详细跟踪
• 特权使用
⚠️ 注意：“账户登录”和“登录/注销”建议保留“失败”审计，用于识别暴力破解尝试；若完全无安全监控需求，才可一并清空。
④ 关闭组策略编辑器，按Win + R→输入eventvwr.msc→回车→左侧展开“Windows日志”→右键“安全”→选择“属性”→将“最大日志大小”从默认的20MB调低至【8MB】（防止残留日志持续膨胀），勾选“当达到最大日志大小时→按需要覆盖事件”→点击“确定”。
替代方案：通过PowerShell检查并关闭（家庭版适用）
家庭版无法使用gpedit.msc，但可通过PowerShell读取并重置本地审计策略：
以管理员身份运行PowerShell（右键开始菜单→“Windows终端（管理员）”）；
执行命令查看当前启用的审核策略：
auditpol /get /category:*
若输出中显示“对象访问”“详细跟踪”等类别状态为“成功 和 失败”，说明正在记录；
逐项关闭（复制粘贴执行，每行一条）：
auditpol /set /category:"对象访问" /success:disable /failure:disable
auditpol /set /category:"详细跟踪" /success:disable /failure:disable
auditpol /set /category:"特权使用" /success:disable /failure:disable
执行完毕后，再次运行auditpol /get /category:"对象访问"验证状态已变为“无审核”。
清空现有安全日志释放空间
停用后旧日志仍驻留磁盘，需手动清理：
打开事件查看器（Win + R→eventvwr.msc）→左侧展开“Windows日志”→右键“安全”→选择“清除日志”→勾选“将事件保存到文件”可选（如需归档），直接点“确定”即可清空；
这一步操作起来很简单，直接清空后C:\Windows\System32\winevt\Logs\Security.evtx文件体积将瞬间回落至几百KB，SSD写入队列压力立刻缓解。
