Windows安全审计日志发挥实效需闭环管理：采集要精准启用高风险审核策略，汇总须集中加密传输，分析应聚焦关键事件ID告警，留存需扩容禁覆盖并长期归档。

windows 安全审计日志要真正发挥合规与防护作用，关键不在“有没有记录”，而在“能不能收全、看得清、告得准、留得住”。这需要一套覆盖采集、汇总、分析、留存四个环节的闭环策略，而不是零散配置几个审核项。

启用精准有效的审核策略

安全日志的价值起点是“该记的都记下来”，但不能盲目全开。重点应落在高风险行为上：

• 必须启用“审核账户登录事件”（成功+失败），这是识别暴力破解、横向移动的基础
• 启用“审核账户管理”（成功+失败），捕获新建/删除用户、重置密码、加域管理员等关键操作
• 启用“审核目录服务访问”，配合在AD中为OU或用户对象手动配置SACL，才能记录DCSync、LDAP查询等域控级敏感动作
• 启用“审核特权使用”，追踪SeDebugPrivilege、SeRestorePrivilege等高危权限调用
• 启用“审核策略更改”，防止攻击者悄悄关闭审计或修改GPO

注意：这些策略必须通过域级组策略（如Default Domain Controllers Policy）配置，本地gpedit.msc对域控制器无效。

强制集中收集与可靠传输

本地日志极易被删改、容量小、无法关联分析。必须将日志从每台终端和服务器实时推送到中央平台：

• 推荐使用Windows事件转发（WEF）：在域控制器启用WinRM，在专用收集服务器部署Event Collector服务，建立订阅关系
• 若对接SIEM（如Microsoft Sentinel、Splunk），可用NxLog或OSSec将Windows日志转为Syslog格式，或直接调用WEC API接入
• 传输过程需加密（如HTTPS或TLS封装），避免日志内容在途中被截获或篡改
• 禁用“按需要覆盖事件”，改为保留180天以上——等保2.0、GDPR均要求可追溯周期不低于6个月

设置合理日志容量与防丢机制

默认512KB的安全日志大小在真实环境中几小时就满，导致关键事件被覆盖。这不是存储问题，而是策略缺陷：

• 域控制器安全日志建议设为2048MB起步，中大型环境建议4096MB或更高
• 右键“安全”日志→属性→取消勾选“日志满时覆盖事件”，确保日志写满后停止写入而非覆盖旧记录
• 定期检查C盘剩余空间，日志增长极快；若发现Get-WinEvent -LogName Security无新事件，优先排查磁盘空间和覆盖策略
• 应用日志、系统日志可设为自动轮转，但安全日志必须人工干预清理，且需先归档再删除

构建可操作的监控与告警规则

日志堆在那里不分析，等于没收集。监控要聚焦真实威胁信号：

• 对事件ID 4625（登录失败）、4776（凭据验证失败）设置阈值告警，例如5分钟内≥10次失败即触发邮件
• 监控4732（加入本地组）、4728（加入全局组）、4756（加入通用组），识别非授权提权行为
• 重点关注4662（DCSync请求）、4719（审核策略变更）、1102（清除安全日志），这些事件本身就意味着高危动作
• 结合时间、源IP、账户类型做上下文过滤，比如非工作时间+域管理员账户+非常规IP的4720（新建用户）应立即告警

不复杂但容易忽略