不能真正“一键”开启全量审计，但可用auditpol命令快速启用高级审核策略全部子类（成功/失败），并用wevtutil配置安全日志容量与覆盖策略，实现高覆盖度合规审计。
不能真正“一键”开启全量审计，但可以用几条关键命令快速启用高覆盖度的审计策略，核心是绕过图形界面、直接调用 auditpol 配置高级子类别，并配合日志容量设置。
用 auditpol 启用全部关键审计子类
Windows Server 2008 及以后版本默认启用的是“基本审核策略”，粒度粗、不灵活。要实现接近全量记录，必须启用“高级审核策略”中的具体子类。以管理员身份运行 CMD 或 PowerShell，执行：
- auditpol /get /category:* —— 先查看当前所有策略状态
- auditpol /set /category:* /success:enable /failure:enable —— 启用全部审计类别的成功与失败事件（适用于大多数合规场景，如等保、ISO27001）
⚠️ 注意：该命令实际启用的是 Windows 定义的全部标准审计子类（约 60+ 项），包括账户登录、特权使用、对象访问、进程创建、SACL 访问等，比旧版“审核登录事件”等 9 个大类精细得多。
确保安全日志本身可写且容量足够
即使策略开了，如果安全日志被禁用或空间太小，事件仍不会记录。需同步配置日志行为：
Windows-Android_SSH_Remote_Control
下载
通过 SSH 隧道从 Android 设备在互联网上对 Windows PC 实现完整远程控制的设置与使用指南，适用于远程桌面访问、安全 RDP 等。
- wevtutil sl Security /e:true /ms:102400 —— 启用安全日志，并设最大大小为 100MB（单位 KB）
- wevtutil sl Security /ow:true —— 开启“按需覆盖旧事件”，避免日志满后停止记录
其他日志（如 System、Application）默认已启用，如需统一管理，可对它们执行类似命令，例如：wevtutil sl System /ms:51200。
验证是否生效
执行后立即验证，避免配置未加载：
- auditpol /get /category:* —— 确认关键子类如 “Logon”、“Account Management”、“Object Access” 显示为 Success and Failure: Enabled
- wevtutil gl Security —— 查看 Security 日志状态，确认 Enabled 值为 true，MaxSize 值与你设置一致
- 手动触发一次登录失败（如输错密码），然后运行 wevtutil qe Security /q:"*[System[(EventID=4625)]]" /c:1，看能否查到最新失败事件
补充说明：为什么不是真正“全量”？
Windows 不允许审计“所有一切”，部分操作天然不触发审计（如内核模式驱动直接读内存）、部分子类需额外配置 SACL 才生效（如文件访问需提前在资源属性中设置审核项）。所谓“全量”，是指在系统能力范围内启用最广覆盖的默认审计面——这正是生产环境推荐的做法，平衡可观测性与性能开销。
