必须启用登录与账户登录事件的成功和失败审核，并将安全日志最大大小设为至少200MB、启用按需覆盖且保留180天，否则日志可能被覆盖或不生成；家庭版Windows不支持该功能，需升级专业版或企业版。
要让Windows系统完整记录每一次用户登录行为，包括账号、IP地址、成功或失败状态及具体时间，必须同时启用审核策略并确保日志存储配置合理，否则即使开启审核，日志也可能被覆盖或根本未生成。
打开本地安全策略编辑器
按 Win + R 输入 secpol.msc → 回车。这一步必须以管理员身份运行，普通用户权限无法进入审核策略设置界面。
如果弹出“找不到文件”提示，说明你使用的是家庭版Windows——该版本不支持本地安全策略中的审核功能，需升级至专业版或企业版才能继续操作。
启用登录事件的双重审核
在左侧导航栏依次展开：本地策略 → 审核策略。
双击右侧列表中的 审核登录事件 → 勾选 成功 和 失败 → 点击确定。
【必须同时勾选两项】 仅勾选“成功”会漏掉暴力破解尝试，“仅失败”则无法确认合法用户是否正常接入，等保和ISO27001审计均要求二者全开。
同理，为保障账号变动可追溯，还需双击 审核帐户登录事件，同样勾选 成功 和 失败 → 确定。
扩展关键审核项（推荐一并配置）
方法一：快速批量设置
在“审核策略”列表中，依次双击以下8项，全部勾选“成功”和“失败”后确定：
审核策略更改、审核帐户管理、审核系统事件、审核特权使用、审核对象访问、审核过程跟踪、审核目录服务访问、审核事件日志服务。
方法二：命令行一次性启用（适用于批量部署）
以管理员身份打开CMD，逐行执行：
auditpol /set /category:"登录事件" /success:enable /failure:enable
auditpol /set /category:"帐户登录事件" /success:enable /failure:enable
让 Windows 桌面程序在开机时静默自启并隐藏到系统托盘。特别适用于 Flutter、Electron 等无视 VBS/ProcessStartInfo 窗口样式、难以隐藏的顽固应用。提供「VBS 启动器 + Python ctypes/Win32 API」的隐藏窗口方案，可稳定把窗口收进托盘且不闪控制台。
auditpol /set /category:"帐户管理" /success:enable /failure:enable
auditpol /set /category:"策略更改" /success:enable /failure:enable
auditpol /set /category:"系统事件" /success:enable /failure:enable
auditpol /set /category:"特权使用" /success:enable /failure:enable
auditpol /set /category:"对象访问" /success:enable /failure:enable
auditpol /set /category:"进程跟踪" /success:enable /failure:enable
调整安全日志最大容量与保留方式
第一步：打开事件查看器 → 按 Win + R 输入 eventvwr.msc → 回车。
第二步：左侧导航中展开 Windows 日志 → 安全 → 右键“安全” → 选择“属性”。
第三步：在“日志大小”区域，将“最大日志大小”设为 至少200MB（默认20MB极易被覆盖）→ 勾选 按需覆盖事件 → 设置“保留日志的时间”为 180天。
【此处必须取消勾选“不覆盖事件”】 否则日志写满后将直接停止记录，后续所有登录行为都不会留下痕迹。
第四步：点击“清除日志”按钮 → 选择“保存并清除”，把旧日志归档后腾出空间，确保新策略立即生效。
