Windows安全审计需分层配置：基础策略启用9类核心事件，高级策略细化子项，SACL绑定具体资源；家庭版不支持，仅专业版及以上可用。
windows 组策略中的安全审计策略不能只“开开关”，必须分层配置、联动生效：基础策略启用大类，高级策略细化子项，sacl绑定具体资源，三者缺一不可。家庭版不支持这些功能，仅专业版、企业版和服务器系统可用。
基础审核策略（本地组策略）
适用于单机或非域环境，覆盖9个核心行为类别，粒度较粗但必须先启用：
- 按 Win + R 输入 gpedit.msc 打开组策略编辑器
- 导航至：计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 审核策略
- 双击以下五项，全部勾选成功和失败：
- 审核账户登录事件（记录域控/Kerberos认证）
- 审核登录事件（记录本地交互式、远程桌面等登录）
- 审核对象访问（开启后SACL才起效，必开）
- 审核特权使用（如提权、密码重置操作）
- 审核策略更改（防他人关闭审计本身）
高级审核策略（精细化控制）
替代传统策略，按子类独立启停，避免日志爆炸，推荐作为主力配置：
- 路径：计算机配置 → Windows 设置 → 安全设置 → 高级审核策略配置 → 系统审核策略
- 逐项双击启用，并勾选成功和失败：
- 登录/注销 → 启用“账户登录”和“登录”
- 对象访问 → 启用“文件系统”“文件共享”“注册表”
- 特权使用 → 启用“特权使用”
- 详细跟踪 → 启用“进程创建”（记录exe启动）
- 注意：若同时启用传统策略与高级策略，需在安全选项中启用“强制审核策略子类别设置”，否则高级策略可能被忽略
对象级访问审计（SACL绑定）
仅启用策略还不够，必须为具体文件、文件夹或注册表项手动添加审核条目，才能捕获实际访问行为：
- 右键目标文件夹 → 属性 → 安全 → 高级 → 审核 → 添加
- 选择用户或组（如 Everyone 或特定安全组）
- 勾选具体权限类型：读取、写入、删除、修改所有权、更改权限等
- 适用范围建议选：此文件夹、子文件夹和文件
- 关键前提：上一步的“审核对象访问”策略必须已启用，否则该SACL完全无效
域环境统一部署（GPO）
在AD域中，应通过域控制器上的GPO集中管理，确保策略一致性：
- 以域管理员身份打开组策略管理控制台（GPMC）
- 编辑目标GPO（如 Default Domain Controllers Policy 或专用策略）
- 路径同上：计算机配置 → 策略 → Windows 设置 → 安全设置 → 高级审核策略配置
- 配置完成后，在客户端执行 gpupdate /force 强制刷新
- 用命令 auditpol /get /category:* 查看当前生效的审核状态
