首先启用审核策略，再通过本地安全策略、组策略或命令行配置具体审核类型，最后在事件查看器中查看登录、文件访问等安全日志。
如果您需要监控Windows系统中的特定操作，例如登录尝试、文件访问或权限更改，可以通过启用和配置审核策略来实现。这些策略允许您记录安全相关的事件到事件查看器中，便于后续分析和排查问题。
本文运行环境：Dell XPS 13，Windows 11
一、通过本地安全策略启用审核策略
使用“本地安全策略”编辑器是配置审核策略的常用方法，适用于独立计算机或非域环境。该工具提供图形化界面，便于用户选择要审核的事件类型。
1、按下 Win + R 键打开“运行”对话框。
2、输入 secpol.msc 并按回车，打开本地安全策略窗口。
3、在左侧导航栏展开“安全设置” → “本地策略” → “审核策略”。
4、双击需要配置的策略项（如“审核登录事件”）。
5、勾选“成功”、“失败”或两者都选，然后点击“确定”保存设置。
二、通过组策略管理控制台配置审核策略
在域环境中，管理员通常使用组策略对象（GPO）统一部署审核策略。此方法可批量应用于多个计算机，确保策略一致性。
1、按下 Win + R 打开运行窗口，输入 gpedit.msc 并回车。
2、导航至“计算机配置” → “Windows 设置” → “安全设置” → “本地策略” → “审核策略”。
3、双击目标审核策略，例如“审核账户管理”。
4、选择需要记录的事件类型（成功、失败），确认后关闭编辑器。
5、执行 gpupdate /force 命令强制更新组策略使更改生效。
三、使用命令行工具配置审核策略
对于自动化部署或远程维护场景，可通过命令行工具auditpol.exe精确控制审核策略，适合脚本集成。
1、以管理员身份打开命令提示符或PowerShell。
2、输入以下命令查看当前审核设置：auditpol /get /category:*。
3、使用如下格式启用特定审核类别：auditpol /set /category:"Logon" /success:enable /failure:enable。
4、根据需要替换类别名称（如"Object Access"、"Account Management"）进行其他配置。
5、验证配置结果是否已更新。
四、启用对象访问审核并配置资源审计
当需要跟踪对特定文件、文件夹或注册表项的访问时，必须先启用“审核对象访问”，再为具体资源设置SACL（系统访问控制列表）。
1、通过secpol.msc或gpedit.msc启用“审核对象访问”策略。
2、右键点击目标资源（如C:\Confidential），选择“属性” → “安全” → “高级”。
3、切换到“审核”选项卡，点击“添加”选择要审核的用户或组。
4、设置要审核的操作类型（如读取、写入、删除等），并指定成功或失败事件。
5、保存设置后，相关访问活动将记录在事件查看器的安全日志中。
五、查看审核日志
审核策略生效后，所有被监控的事件都会写入系统的安全日志。通过事件查看器可以检索和分析这些记录。
1、按下 Win + X 并选择“事件查看器”。
2、展开“Windows 日志” → “安全”。
3、在右侧操作面板点击“筛选当前日志”。
4、输入相关事件ID（如4624表示成功登录，4670表示权限变更）进行过滤。
5、双击日志条目查看详细信息，包括用户、时间、源IP等关键字段。
