Windows无原生“自动清理安全日志”组策略，需三步协同：1.启用日志覆盖（核心）；2.注册表启用安全日志自动归档（AutoBackupLogFiles=1）；3.用PowerShell脚本定期删除180天前Archive-.evtx文件。

windows 本身不提供“安全策略自动清理事件日志”的原生组策略选项。所谓“自动清理”，实际是通过日志覆盖策略 + 定期归档触发 + 外部脚本辅助三者协同实现的，不是靠一条策略开关就能完成。重点在于让系统按需轮转、不堆积，再用轻量脚本收尾。

设置日志自动覆盖（最核心一步）

这是防止日志无限膨胀的基础，必须启用，否则后续所有自动化都无从谈起：

• 打开事件查看器（eventvwr.msc），展开“Windows 日志”
• 右键点击“安全”→“属性”，同样操作依次处理“系统”“应用程序”
• 勾选“当达到最大日志大小时，按需覆盖事件”
• 将“最大日志大小”设为合理值（建议 100–200 MB；安全日志可略高，但不宜超 250 MB）
• 点击“确定”——设置立即生效，无需重启

启用安全日志自动归档（仅限归档，非清理）

归档 ≠ 清理，它是把满日志打包保存，为审计留痕。归档后原始日志清空，新事件继续写入，形成自然循环：

• 以管理员身份运行注册表编辑器（regedit）
• 定位到：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EventLog\Security
• 新建一个 DWORD（32位）值，名称为 AutoBackupLogFiles，数值数据填 1
• 回到事件查看器，右键“安全”日志 → “属性” → 勾选“不覆盖事件（手动清除日志）” → 点击“清除日志”→ 选“是”保存当前内容（生成首个 Archive-*.evtx）
• 此后当日志写满，系统自动归档并清空主日志，同时记录事件 ID 524

用 PowerShell 脚本定期清理归档文件（真正意义上的“自动清理”）

归档文件默认存于 %SystemRoot%\System32\winevt\Logs\，长期积累会占 C 盘空间。需脚本移走并清理旧文件：

• 新建 PowerShell 脚本（如 cleanup-evtx.ps1），内容如下：

Get-ChildItem "$env:SystemRoot\System32\winevt\Logs\Archive-*.evtx" -ErrorAction SilentlyContinue | Where-Object { $_.LastWriteTime -lt (Get-Date).AddDays(-180) } | Remove-Item -Force

• 以管理员身份运行该脚本，或通过任务计划程序每天/每周自动执行
• 如需异地备份，可在 Remove-Item 前加 Copy-Item 到网络路径或外部盘

同步精简其他日志通道（减少干扰源）

很多“旧数据”其实来自未被关注的诊断类日志，它们默认禁用覆盖且体积大：

• 在事件查看器中，展开“应用程序和服务日志”→ 逐个右键 Microsoft > Windows > DiagnosticLog、Operational、Analytic 等子项 → 选择“禁用日志”
• 对仍保留的“Setup”“Forwarded Events”等低频日志，也按前述方法设为“按需覆盖”，最大值建议 ≤ 64 MB
• 停用 Windows Error Reporting 服务，并清空 %SystemRoot%\System32\winevt\Logs\Backup-*.evtx 和 %LOCALAPPDATA%\Microsoft\Windows\WER\ReportArchive\ 中 30 天前的文件