域控制器安全日志清理必须禁用自动覆盖、扩容至至少2048MB，并在清空前导出归档；仅可批量清理System等非安全日志；应建立WEF或SIEM集中归档机制并每月校验。
域控制器日志清理与存档不能简单清空了事，必须兼顾合规审计要求和系统可追溯性。安全日志一旦丢失，就无法回溯账号登录、权限变更、dcsync等关键行为，直接导致合规失效或调查断链。
安全日志必须禁用自动覆盖并扩大容量
默认20MB的安全日志在高活跃域环境中几小时就会被覆盖。务必执行以下两项操作：
- 在事件查看器中右键“安全”日志 → 属性 → 取消勾选“将审核日志满时覆盖事件”
- 将“最大日志大小”设为至少2048MB（建议4096MB），同时确认未启用“按需覆盖久于X天的事件”
磁盘空间要留足：每GB安全日志约对应3–5天中等规模域环境数据量，系统盘应保留≥25GB空闲空间。
Windows TTS (WSL2)
下载
在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。
清理前必须完成归档与验证
清空日志前，先导出近期关键内容并校验完整性：
- 用PowerShell导出指定时间范围的日志：
Get-WinEvent -FilterHashtable @{LogName='Security'; StartTime=(Get-Date).AddDays(-7)} | Export-Csv C:\Archive\sec_last7days.csv -NoTypeInformation - 用wevtutil导出二进制备份（保留原始格式与元数据）：
wevtutil epl Security C:\Archive\security_$(date /t).evtx
- 手动打开导出的.evtx文件，确认能正常加载且事件条目完整
批量清理仅限非安全类日志
系统、应用程序等日志可定期清理，但安全日志严禁用wevtutil cl Security直接清空：
- 允许清理的：System、Application、Setup、DNS Server等非审计核心日志
- 推荐脚本方式（管理员权限运行）：
for %i in (System Application Setup DNS Server) do @wevtutil cl "%i"
- 若需重置安全日志（如取证后重建），必须先归档+审批+记录操作日志，再执行
wevtutil cl Security
建立可持续的集中化归档机制
本地存储不可靠，应转向集中管理：
- 启用Windows事件转发（WEF）：在域控制器上配置订阅，将Security日志实时推送到专用收集服务器
- 对接SIEM平台（如Microsoft Sentinel、Splunk）：通过WEC通道接入，设置保留策略（如热存储90天、冷归档7年）
- 每月执行一次归档校验：比对收集端与源端事件ID总数、最早/最晚时间戳，确保无丢事件
不复杂但容易忽略
