用途
该技能用于配置 Windows 事件日志与高级审核策略，生成高保真安全事件，供威胁检测与取证调查使用。适用场景包括：为安全监控配置 Windows 高级审核策略；启用带命令行记录的进程创建审核（事件 4688）；设置登录/注销审核以监控身份验证；规划事件日志存储容量并转发至 SIEM 平台。不适用于 Sysmon 配置（另有独立技能）或 Linux 审核日志。
前置条件
- 具备组策略管理访问权限的 Windows Server 或 Windows 10/11 系统
- 具备创建组策略对象（GPO）权限的 Active Directory 环境
- 已配置可接收 Windows 事件日志转发的 SIEM 平台
- 了解 Windows 安全事件 ID 与审核类别
工作流程
步骤 1：通过 GPO 配置高级审核策略
路径：计算机配置 → Windows 设置 → 安全设置 → 高级审核策略配置 → 审核策略
推荐设置：
账户登录：
- 审核凭据验证：成功、失败
- 审核 Kerberos 身份验证：成功、失败
账户管理：
- 审核安全组管理：成功
- 审核用户账户管理：成功、失败
登录/注销：
- 审核登录：成功、失败
- 审核注销：成功
- 审核特殊登录：成功
- 审核其他登录/注销事件：成功、失败
对象访问：
- 审核文件共享：成功、失败
- 审核可移动存储：成功、失败
- 审核 SAM：成功
策略更改：
- 审核审核策略更改：成功、失败
- 审核身份验证策略更改：成功
特权使用：
- 审核敏感特权使用：成功、失败
详细跟踪：
- 审核进程创建：成功
- 审核 DPAPI 活动：成功、失败
步骤 2：在进程创建事件中启用命令行
注册表方式（启用事件 4688 的命令行记录）：
New-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Audit" `
-Name ProcessCreationIncludeCmdLine_Enabled -Value 1 -PropertyType DWORD -Force
GPO 方式：计算机配置 → 管理模板 → 系统 → 审核进程创建 → “在进程创建事件中包含命令行” → 已启用
步骤 3：配置事件日志大小
# 将安全日志增大到 1 GB（默认 20 MB 不足）
wevtutil sl Security /ms:1073741824
# 增大 PowerShell 操作日志
wevtutil sl "Microsoft-Windows-PowerShell/Operational" /ms:536870912
# 设置日志保留为按需覆盖
wevtutil sl Security /rt:false
通过 GPO 配置：计算机配置 → 管理模板 → Windows 组件 → 事件日志服务 → 安全 → 最大日志文件大小（KB）：1048576
步骤 4：配置 Windows 事件转发（WEF）
在收集器服务器上：
wecutil qc /q
为高价值事件创建订阅，事件 ID 包括：4624（登录）、4625（登录失败）、4688（进程创建）、4672（特殊特权）、4720（创建用户）、4728（组成员关系）、7045（安装服务）、1102（日志被清除）。
在源终端上（通过 GPO）：
- 配置 WinRM：
winrm quickconfig - 配置事件转发：计算机配置 → 管理模板 → Windows 组件 → 事件转发
- 配置目标订阅管理器：
Server=http://collector:5985/wsman/SubscriptionManager/WEC
步骤 5：用于检测的关键事件 ID
身份验证事件：
- 4624 - 成功登录（类型 2=交互式，3=网络，10=远程交互）
- 4625 - 登录失败尝试
- 4648 - 使用显式凭据登录（RunAs、哈希传递指标）
- 4672 - 分配特殊特权（管理员登录）
- 4776 - NTLM 凭据验证
进程事件：
- 4688 - 进程创建（启用后含命令行）
- 4689 - 进程终止
账户事件：
- 4720 - 创建用户账户
- 4722 - 启用用户账户
- 4724 - 尝试重置密码
- 4728 - 添加到安全组
- 4732 - 添加到本地组
- 4756 - 添加到通用组
服务/系统事件：
- 7045 - 安装新服务（持久化指标）
- 1102 - 审核日志被清除（证据篡改）
- 4697 - 系统中安装服务
横向移动指标：
- 4648 + 4624（类型 3）- 基于凭据的横向移动
- 5140 - 访问网络共享
- 5145 - 网络共享访问检查（详细文件共享）
关键概念
- 高级审核策略：细粒度审核子类别（58 个子类别，对比 9 个基本类别）
- 事件 ID 4688：进程创建事件，跟踪终端执行的关键
- WEF：Windows 事件转发，无需第三方代理的集中日志收集
- 登录类型：表示身份验证方式的数字代码（2=交互式，3=网络，10=RDP）
工具与系统
- Windows 事件转发（WEF）：内置集中日志收集
- NXLog：面向 Windows 事件的开源日志转发代理
- Winlogbeat：用于将 Windows 事件日志发送至 Elasticsearch 的 Elastic Agent
- Palantir WEF Configuration：开源 WEF 订阅模板
常见陷阱
- 使用基本审核策略而非高级：基本与高级审核策略会冲突，应始终仅使用高级审核策略。
- 默认日志大小过小：繁忙服务器上 20 MB 安全日志几分钟即满，应设置至少 1 GB。
- 缺少命令行记录：不含命令行内容的事件 4688 检测价值极低，应始终启用 ProcessCreationIncludeCmdLine_Enabled。
- 未转发日志：终端被勒索软件清除后本地事件日志会丢失，应立即转发至集中式 SIEM。