Windows安全预警可用原生工具实现：通过事件日志（如ID 4625/4720）或性能计数器触发任务计划，调用脚本执行邮件告警、日志归档等；配合SmtpMailSender发信，或进阶用Sysmon+事件转发构建轻量EDR。
windows 安全监控中的预警系统无需依赖商业软件，用系统原生工具就能实现稳定、低开销的自动化告警。核心是把“事件触发”和“响应动作”打通：通过事件日志或性能计数器捕获异常，再由任务计划调用脚本执行邮件通知、日志归档或服务重启等操作。
基于 Windows 事件日志的关键事件 ID 告警
安全类事件（如登录失败、账户锁定、策略变更）都记录在 Windows 安全日志中，对应特定事件 ID。例如：
- 4625：失败的登录尝试（高频攻击信号）
- 4720：创建新用户账户（需关注非运维时段）
- 4672：分配特权登录（如 Administrator 登录）
- 4688：进程创建（配合命令行审计可发现恶意执行）
配置方法：打开“事件查看器 → 订阅 → 创建订阅”，选择目标服务器，筛选指定事件 ID 和时间范围；勾选“将事件转发到此事件日志”，再右键该日志 → “附带操作的自定义视图” → 设置“当事件发生时启动任务”，关联一个 .cmd 或 PowerShell 脚本即可触发响应。
利用性能计数器实现资源级自动预警
磁盘空间不足、CPU 持续 95%、内存泄漏等可通过性能计数器实时监测。操作路径为：“性能监视器 → 数据收集器集 → 用户定义 → 新建数据收集器集（手工创建）→ 勾选‘性能计数器警报’”。
Windows TTS (WSL2)
下载
在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。
常见配置示例：
- LogicalDisk\% Free Space：实例选 C:，阈值设为 <10%，触发后发邮件并记录到本地文本
- Processor\% Processor Time：_Total 实例，持续 5 分钟 >90%，触发进程快照（tasklist /svc /fo csv > C:\logs\cpu_high.csv）
- Memory\Available MBytes：低于 512 MB 时，自动运行内存清理脚本（如清空系统缓存）
免第三方工具的邮件告警落地方式
不装 SMTP 服务或 PowerShell Send-MailMessage（部分环境受限），可用轻量工具 SmtpMailSender 实现：
- 下载解压后首次运行，按向导配置 QQ/163/Outlook 邮箱（注意使用应用专用密码而非邮箱登录密码）
- 生成 config.conf 后，新建 XXX.cmd 文件，内容为：
smtpmailsender.exe -f "alert@domain.com" -t "admin@domain.com" -s "【告警】C盘空间不足" -b "当前剩余: 8.2%" -send - 保存编码选 ANSI，确保中文不乱码；任务计划中“起始于”字段必须填该 .cmd 所在完整路径（如 D:\alert\）
进阶建议：Sysmon + 事件转发构建轻量 EDR
若需更细粒度行为监控（如 PowerShell 反射加载、WMI 持久化、可疑注册表修改），推荐部署 Sysmon 并搭配 sysmon-modular 配置：
- 安装 Sysmon 后，导入精简版配置（如 sysmonconfig.xml），聚焦进程创建、网络连接、文件写入三类事件
- 启用 Windows 事件转发（WEF），将多台服务器日志集中到一台 Windows Server（开启 WinRM 和 Event Collector 服务）
- 在中心服务器上对转发日志设置事件 ID 过滤+任务触发，统一管理告警逻辑，避免每台单独配置
