审计策略决定事后有没有据可查
Windows 的审计策略用命令行工具配置与查看，它决定哪些类型的事件会被记录到事件日志里。加固的重点很明确：登录与注销、进程创建、账户管理这三块必须先开。没开启的类别不会产生任何事件，事后无论怎么排查都是空白；三块都开之后，才能进一步做事件分析与整改验证。
基本信息
| 加固项 | 系统审计策略 |
|---|---|
| 适用平台 | Windows 10/11 与 Windows Server 2016+ |
| 风险等级 | 高 |
| 基线 | 登录、进程创建、账户管理等关键类别已开启 |
| 工具 | 审计策略命令行工具，需管理员权限 |
典型使用场景
- 等保安全审计：条款要求审计范围覆盖到具体用户与关键操作
- 事件响应前置条件：没有审计策略就没有日志，取证无从谈起
- 整改验收：确认策略修改后确实产生新记录
- 域内统一：按批次核对成员机的审计类别配置是否一致
- 证据留档：导出当前策略作为合规材料
查看与开启
查看与开启
auditpol /get /category:* # 全量查看当前策略
auditpol /get /category:"Logon/Logoff" # 查看登录相关类别
auditpol /set /subcategory:"Logon" /success:enable /failure:enable
auditpol /set /subcategory:"Process Creation" /success:enable
auditpol /set /subcategory:"User Account Management" /success:enable /failure:enable
auditpol /backup /file:C:\evidence\auditpol.csv # 导出留档三块必开与对应事件
| 类别 | 覆盖内容 | 主要事件号 |
|---|---|---|
| 登录与注销 | 登录成功与失败、注销、会话结束 | 4624、4625、4634、4647 |
| 进程创建 | 可执行文件的启动记录 | 4688 |
| 账户管理 | 账号与组的创建、修改、删除、加组 | 4720、4726、4728、4732 |
| 特权使用 | 分配与使用特殊权限 | 4672 |
中文系统上类别与小类名称经过本地化：脚本不要硬编码英文名称，先完整列出类别看实际名称再写设置命令，否则设置会失败且报错信息不直观。修改之后立即导出策略作为证据，同时抽查事件日志确认新策略确实产生记录。
域环境中的本地策略可能被组策略覆盖：配置完成后要用组策略结果查询确认最终生效来源，只看本地设置会误判。审计类别全开还会显著增加日志量，需要同步检查日志容量与轮转，避免记录被快速覆盖。
从策略到分析的闭环
审计策略只是起点。完整闭环是：开启关键类别、确认事件正常产生、为日志预留足够容量、建立定期分析动作（例如每日看失败登录排行与新增账号）。策略开了不分析，等于有了记录却没人看；分析动作固定下来，才能把审计能力真正用在发现问题上。