必须启用高级审核策略并强制覆盖传统策略，否则无法精确追踪域控制器上的敏感操作；需在域管理员账户下编辑Default Domain Controllers Policy或高优先级新GPO，配置账户登录、账户管理、对象访问等子类别的成功与失败审核，并为NTFS文件夹手动设置SACL。
要在Windows域环境中精确追踪敏感操作，比如域控制器上账户凭据验证失败、安全组成员变更或关键文件被访问，必须启用高级审核策略而非传统审核策略，否则日志中只会记录模糊的通用事件，无法定位具体行为源头。
确认适用环境与权限前提
仅Windows Server 2008 R2及以上版本支持高级审核策略；客户端系统（如Windows 10/11）不提供该配置界面。必须使用域管理员账户登录到已安装组策略管理控制台（GPMC）的计算机，本地管理员权限无效——因为策略需写入域级GPO并同步至所有域控制器。
若当前无GPMC，先在服务器管理器中添加“组策略管理”功能，或在任意域成员机上运行Add-WindowsFeature GPMC命令安装。
编辑域控制器策略对象
打开组策略管理控制台（gpmc.msc）→ 展开“林”→“域”→右键点击Default Domain Controllers Policy → 选择“编辑”。
注意：此策略默认链接到“Domain Controllers”OU，直接修改最稳妥；若组织禁止改动默认策略，则新建GPO、链接至同一OU，并将新GPO优先级设为高于默认策略（右键GPO→“属性”→“链接顺序”中拖至顶部）。
路径导航：左侧树形菜单依次展开 → 计算机配置 → 策略 → Windows 设置 → 安全设置 → 高级审核策略配置 → 审核策略。
启用关键子类别的成功与失败审核
按实际监控需求逐项配置，以下为高价值必启项：
方法一：账户登录类
双击“账户登录”→ 双击“审核Kerberos身份验证服务”→ 勾选“成功”和“失败”→ 确定。此设置捕获4768（TGT请求）、4769（服务票证）等核心事件，是检测暴力破解或黄金票据攻击的基础。
方法二：账户管理类
双击“账户管理”→ 分别进入“审核用户账户管理”和“审核安全组管理”→ 均勾选“成功”和“失败”。用户禁用、密码重置、组成员添加等操作将生成4720、4722、4732等可追溯事件。
方法三：对象访问类（需额外SACL配合）
双击“对象访问”→ 双击“审核文件系统”→ 勾选“成功”和“失败”。但此设置仅开启日志开关，【必须后续为具体NTFS文件夹手动配置SACL】，否则无任何事件产生。
强制高级策略覆盖传统审核
这一步不可跳过：若未启用强制策略，系统可能回退到旧式审核，导致日志缺失或冲突。
在同一个GPO编辑界面中，导航至：
计算机配置 → 策略 → Windows 设置 → 安全设置 → 本地策略 → 安全选项 → 找到“审核：强制审核策略（全局对象访问审计）”→ 双击 → 勾选“已启用”→ 确定。
该设置确保所有高级审核策略生效，且阻止传统“审核策略”设置干扰。若此处未启用，即使上面步骤全做完，域控制器也不会记录Kerberos验证失败等关键事件。
立即应用策略并验证日志
在域控制器上以管理员身份运行命令提示符 → 输入：
gpupdate /force → 等待提示“处理组策略完成”。
随后打开事件查看器 → Windows日志 → 安全 → 筛选当前日志 → 输入事件ID 4776（域控制器验证凭据）或4720（创建用户），确认有新事件生成。若无结果，检查是否遗漏“强制审核策略”启用步骤或域控制器是否真正在该GPO作用范围内。
