Windows 安全日志是什么
Windows 的审计能力由审核策略决定：先打开相应类别的审核，系统才会在安全日志中记录事件。等保检查关注登录、账户管理、策略更改与对象访问是否被记录，以及日志容量与留存是否够用。Windows Server 2016 以上默认策略与旧版本差异较大，核查时要看实际生效值而不是记忆中的默认值。
基本信息
| 适用平台 | Windows Server 2012 R2 及以上、Windows 10/11 |
|---|---|
| 查看工具 | 事件查看器、wevtutil 命令行、PowerShell 的 Get-WinEvent |
| 配置工具 | 本地安全策略、组策略 auditpol 命令行 |
| 关键类别 | 登录/注销、账户管理、策略更改、对象访问、进程跟踪 |
| 容量管理 | 安全日志默认大小有限，需按留存要求扩容或集中转发 |
| 留存方式 | 日志订阅、SIEM 采集或 Windows 事件转发（WEF） |
典型使用场景
- 等保整改统一推送域内服务器的审核策略并核查生效情况
- 排查账号异常登录时按事件 ID 检索成功与失败记录
- 审计管理员是否创建了计划任务或安装了服务等持久化手段
- 通过日志订阅把安全日志集中转发到日志平台长期留存
- 检查失败登录是否触发了账户锁定，验证策略真实生效
高频事件 ID
| 事件 ID | 含义 | 关注点 |
|---|---|---|
| 4624 / 4625 | 登录成功 / 登录失败 | 注意登录类型字段，类型 3/10 为网络与远程交互登录 |
| 4672 | 分配特殊权限 | 管理员登录的典型特征，结合 4624 一起看 |
| 4688 | 进程创建 | 需开启审核并配置记录命令行 |
| 4720 / 4726 | 创建用户 / 删除用户 | 账号生命周期管理的证据 |
| 4728 / 4732 | 加入全局组 / 本地组 | 提权路径的关键节点 |
| 4697 | 安装服务 | 常被用于持久化，需重点复核 |
快速核查命令
快速核查命令
auditpol /get /category:* | Select-String -Pattern "登录/注销|账户管理" # 看审核是否开启
wevtutil qe Security /q:"*[System[(EventID=4625)]]" /c:5 /rd:true /f:text # 最近 5 条登录失败
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4720} -MaxEvents 10 # 近期账号创建
wevtutil gl Security # 查看安全日志容量与覆盖策略命令行记录需要在审核策略中显式启用「审核进程创建」并打开「在进程创建事件中包含命令行」选项，默认往往不记录参数。
日志容量是常见短板：安全日志滚动覆盖过快会导致关键时段记录消失，应按留存要求扩容并配置集中转发。