必须聚焦高价值审计事件，仅启用账户登录、账户管理、目录服务访问、策略更改、特权使用五类核心事件；安全日志设为4096MB并禁用覆盖；SACL仅配OU层级，审核主体选DOMAIN CONTROLLERS组；通过gpresult、repadmin和事件ID验证策略生效。

组策略本身不显著消耗cpu或内存，但配置不当会拖慢登录、策略刷新和日志写入——关键不在“开不开”，而在“审什么、存多久、谁生效”。

聚焦高价值审计事件，避免全量触发

盲目启用全部审核项（如全勾“对象访问”“详细跟踪”）会让域控制器每秒生成数百条日志，尤其在文件服务器或DC上极易引发磁盘I/O瓶颈。应只启用以下五类核心事件：

• 账户登录：成功+失败都勾选，用于识别暴力破解与异常地理位置登录
• 账户管理：监控用户/组创建、禁用、密码重置（事件ID 4720/4722/4725等）
• 目录服务访问：仅对OU或关键组设SACL，不全林开启；默认只记成功，失败需手动加审计项
• 策略更改：启用“审核GPO更改”（事件ID 4739），这是追踪配置漂移的唯一可靠依据
• 特权使用：重点监控SeBackupPrivilege、SeRestorePrivilege等调用（事件ID 4670/4674）

日志容量与存储必须硬性管控

安全日志不是“开了就行”。默认512KB容量在中型域控上几分钟就满，“日志满时覆盖事件”一开，等于审计失效。

• 通过组策略统一设置：计算机配置 → 安全设置 → 事件日志 → 安全日志，最大大小设为4096MB（4GB），并禁用覆盖
• 将安全日志单独挂载到高速SSD卷（非系统盘），避免C盘IO争抢
• 配合Windows事件转发（WEF）或SIEM工具集中归档，本地保留最近90天，历史日志自动压缩归档

避免SACL滥用导致AD响应延迟

为每个用户对象单独配SACL（比如给1万个用户挨个加审核项）会极大增加NTDS.dit读取开销，造成LDAP查询变慢。

• 只在OU层级配置SACL，让成员对象继承；不建议对单个用户或组直接设SACL
• 审核主体优先选DOMAIN CONTROLLERS组，而非Everyone或Authenticated Users，减少无关触发
• 操作类型只勾选真正关注的项，例如“Write Property”+“Delete”，无需全选“Full Control”级审计
• 启用SACL后，用repadmin /showattr * +sddl验证是否已写入ntSecurityDescriptor属性，防止配置未生效

终端策略生效状态必须主动验证

组策略推送≠终端已应用。常见问题包括客户端未运行gpupdate /force、WMI筛选器阻断、环回处理未启用、或目标OU未链接GPO。

• 在目标OU下部署测试机，运行gpresult /h report.html生成HTML报告，比对“应用的GPO”列表是否与预期一致
• 对关键策略（如密码策略、防火墙规则）执行secedit /export /cfg baseline.inf导出当前本地策略，再用diff工具比对基线文件
• 对启用审核的策略（如对象访问），在客户端触发一次受控操作（如访问某共享文件夹），立即检查事件查看器中ID 4662是否生成，确认SACL已生效