审计策略的配置入口
Windows 的审计策略有两个配置面：本地在 gpedit.msc 的高级审核策略配置里，域环境在组策略管理控制台里统一下发。域机上的本地设置经常被域策略覆盖，所以动手前先用 gpresult 确认哪条策略在生效，否则改完发现被刷回，排查方向会跑偏。审计策略本身决定“什么行为会被记录”，是日志可用性的前提。
基本信息
| 适用平台 | Windows Server / Windows 10、11 |
|---|---|
| 本地入口 | gpedit.msc → 计算机配置 → Windows 设置 → 安全设置 → 高级审核策略配置 |
| 域入口 | GPMC → 域 → 组策略对象 → 高级审核策略配置 |
| 建议类别 | 登录注销、账户管理、策略更改、对象访问、特权使用、系统 |
| 取证命令 | secedit /export、gpresult /h |
典型使用场景
- 等保整改：审计策略覆盖关键行为类别
- 域内统一：用 GPO 避免逐台手工设置与遗漏
- 事件复盘：确认某类事件是否在审计范围内
- 对象访问审计：对敏感目录或注册表键单独开启并配置 SACL
- 审计调优：事件量过大时按类别细化而不是全局关闭
配置与生效核查
配置与生效核查
gpedit.msc # 本地策略：高级审核策略配置
# 查看生效策略来源：
gpresult /h C:\evidence\gpo.html
secedit /export /cfg C:\evidence\secpol.cfg /areas SECURITYPOLICY
findstr /i "Audit" C:\evidence\secpol.cfg | head
# 生成的报告里可看到：计算机配置 → Windows 设置 → 安全设置 → 高级审核策略配置审计类别读法
| 类别 | 记录内容 | 配置建议 |
|---|---|---|
| 登录注销 | 成功与失败的登录事件 | 成功与失败都开启，用于发现爆破 |
| 账户管理 | 账号创建、删除、组变更 | 成功与失败都开启 |
| 策略更改 | 安全策略被修改 | 成功开启，属于高价值线索 |
| 对象访问 | 文件、注册表、句柄访问 | 按需开启，配合 SACL 精确控制 |
| 特权使用 | 敏感权限的使用记录 | 成功开启，配合敏感权限审计 |
域机先看 gpresult 确认哪条 GPO 在生效：改本地经常被域策略刷回，白费功夫还容易误以为改动无效。
落地要点
- 审计策略与日志容量配套：开得越多事件量越大，容量要同步评估
- 对象访问审计必须配置对应的 SACL，否则策略开了也没有记录
- 变更审计策略属变更管理范畴，需登记影响范围
- 把 secedit 导出的配置作为证据留档，但注意文件内含策略明细，存放位置要受控
- 定期复核策略内容，避免上线后被人为调整
导出的 secpol.cfg 含有策略明细，等同于内部配置基线：归档时注意存放位置与访问权限，避免成为信息泄露源。