Windows服务器默认的日志策略往往只记录系统核心事件，对于登录行为、文件访问、策略变更等关键操作的追踪粒度不够。一旦发生安全事件，管理员很难还原攻击路径和操作时间线。启用并合理配置安全日志记录，是低成本高回报的防护手段。下面直接拆解具体的配置方法和追踪思路。
先明确要记录哪些事件
安全日志的核心价值在于回答三个问题：谁在什么时间做了什么、是否成功、从哪里发起的。围绕这三个问题，Windows服务器至少应启用以下几类审核策略：登录事件、账户管理、目录服务访问、对象访问、策略变更、特权使用和进程跟踪。很多服务器只开了登录审核，导致文件被篡改或注册表被修改后完全无迹可寻。建议在组策略中统一配置，而不是逐台手动修改。
打开“本地安全策略”或通过域组策略进入“安全设置-本地策略-审核策略”，将以下项目设置为“成功”和“失败”都记录：审核登录事件、审核账户登录事件、审核账户管理、审核目录服务访问、审核对象访问、审核策略更改、审核特权使用。对于高安全需求的主机，可以额外启用“审核进程跟踪”，但要注意日志量会明显增加。
配置高级审核策略获得更细粒度控制
基础审核策略只能控制大类，而高级审核策略可以精确到具体子类别。例如你只想记录Kerberos认证失败，而不记录所有账户登录成功事件，就必须使用高级审核策略。进入“安全设置-高级审核策略配置-审核策略”，这里可以针对“账户登录”“登录/注销”“对象访问”“策略更改”等大类下的子项单独设置。
一个实用的配置组合是：在“登录/注销”中启用“登录”的成功和失败、“注销”的成功、“锁定”的失败；在“账户登录”中启用“Kerberos身份验证服务”的失败、“凭据验证”的失败；在“对象访问”中启用“文件系统”的成功和失败、“注册表”的成功和失败。这样既能追踪暴力破解，也能记录关键文件的读取和修改。
注意：如果同时配置了基础审核策略和高级审核策略，高级审核策略会覆盖基础策略。建议统一使用高级审核策略，避免混淆。
对关键文件和文件夹启用对象访问审核
仅开启“审核对象访问”策略还不够，必须对具体的文件、文件夹或注册表项单独添加审核条目。比如Web目录、数据库配置文件、系统关键目录等，都需要手动指定要监控的用户或组以及要记录的操作类型。
以文件服务器上的共享目录为例，右键目标文件夹选择“属性-安全-高级-审核”，添加要监控的用户组（通常选择Everyone或Authenticated Users），然后在“基本权限”中勾选“读取”“写入”“删除”“更改权限”等操作。建议至少记录“写入”和“删除”的成功与失败事件。这样任何用户创建、修改、删除文件都会生成4663事件，事件详情中会包含具体的访问掩码和文件名。
对于注册表，可以使用regedit定位到关键项，右键“权限-高级-审核”进行类似配置。例如监控Run键的变更，可以及时发现持久化后门。
调整日志大小和保留策略防止日志被覆盖
默认情况下，安全日志的最大大小通常只有20MB，在高事件量环境下很快就会被覆盖。攻击者有时会故意制造大量日志来覆盖入侵痕迹。建议将安全日志大小设置为至少1GB，具体取决于服务器角色和事件量。进入“事件查看器-Windows日志-安全-属性”，将“最大日志大小”调大，并将“达到最大日志大小时”设置为“按需要覆盖事件（最早的事件优先）”或“不覆盖事件（手动清除日志）”。对于关键服务器，建议选择“不覆盖事件”，并配合日志收集系统定期归档。
同时要确保“审核：无法记录安全审核时立即关闭系统”策略处于启用状态。该策略位于“安全设置-本地策略-安全选项”中。这样当日志系统无法写入时，服务器会直接停止运行，而不是继续运行但丢失所有审计记录。虽然这可能导致服务中断，但在高安全场景下比静默丢失日志更安全。
集中收集和分析日志
单机日志容易被攻击者清除，集中收集是必要的。Windows自带的事件转发功能可以将多台服务器的安全日志汇总到一台收集服务器。在收集服务器上运行以下命令启用收集器功能：
wecutil qc /q
然后创建订阅，选择“源计算机已启动”或“收集器已启动”模式，指定要收集的事件日志和源计算机。订阅创建后，源服务器会将符合条件的事件转发到收集服务器。这样即使源服务器被攻破，日志仍然保留在独立的收集端。
对于没有专用SIEM系统的环境，可以使用Windows事件转发配合计划任务将日志定期导出为文件存档。导出的日志可以使用PowerShell脚本解析，提取关键事件ID进行告警。
必须重点监控的事件ID
启用日志后，如果不知道看哪些事件，等于没有启用。以下事件ID是Windows安全日志中最值得关注的：
4624：账户成功登录。注意登录类型字段，类型3是网络登录，类型10是远程交互式登录，类型2是本地控制台登录。大量类型3的失败后突然出现类型10成功登录，往往意味着凭据被爆破成功。
4625：账户登录失败。持续大量出现此事件，尤其是同一源IP针对多个账户尝试，基本可以判定为暴力破解。
4648：使用显式凭据尝试登录。攻击者常用runas或远程桌面带凭据连接，此事件会记录使用的账户名。
4672：为新登录授予特殊权限。表示账户获得了管理员级别的特权，配合4624可以判断是否出现提权行为。
4688：新进程已创建。需要启用“审核进程跟踪”策略。事件中会包含进程路径和命令行参数，对发现恶意脚本执行非常有效。
4720/4722/4724/4725：用户账户创建、启用、密码重置。攻击者创建后门账户或重置密码时会产生这些事件。
4732/4733：成员被添加到安全启用的本地组或从中移除。重点关注Administrators组、Remote Desktop Users组的成员变更。
4663：尝试访问对象。配合对象访问审核，可以记录谁读取或修改了关键文件。事件中的“访问”字段包含具体权限信息。
5140：网络共享对象已访问。记录谁通过共享访问了哪个文件或文件夹。
1102：审核日志已清除。只要出现此事件，必须立即调查，正常运维中极少需要清除安全日志。
用PowerShell快速查询和筛选日志
事件查看器适合手动排查，但面对海量日志效率太低。PowerShell的Get-WinEvent命令可以快速筛选。例如查询最近24小时内所有登录失败事件：
Get-WinEvent -FilterHashtable @{LogName='Security';Id=4625;StartTime=(Get-Date).AddHours(-24)} | Select-Object TimeCreated,@{n='User';e={$_.Properties[5].Value}},@{n='SourceIP';e={$_.Properties[18].Value}}
查询某个账户的所有成功登录记录：
Get-WinEvent -FilterHashtable @{LogName='Security';Id=4624} | Where-Object {$_.Properties[5].Value -eq 'administrator'} | Select-Object TimeCreated,@{n='LogonType';e={$_.Properties[8].Value}},@{n='SourceIP';e={$_.Properties[18].Value}}
查询Administrators组的成员变更：
Get-WinEvent -FilterHashtable @{LogName='Security';Id=4732,4733} | Select-Object TimeCreated,Id,@{n='Group';e={$_.Properties[2].Value}},@{n='User';e={$_.Properties[6].Value}}
这些命令可以直接复制到PowerShell中运行，快速定位异常行为。
结合任务计划实现实时告警
日志收集后如果只能事后查看，响应速度会大打折扣。可以通过任务计划程序绑定事件触发条件，当特定事件发生时自动执行告警脚本。例如当出现1102事件（日志清除）时立即发送邮件通知管理员。
在“任务计划程序”中创建任务，触发器选择“当事件被记录时”，日志选择“安全”，事件ID填写1102。操作选择“启动程序”，指向一个PowerShell脚本，脚本内容可以调用Send-MailMessage发送告警邮件。类似地，可以对4625事件设置阈值告警，比如5分钟内出现20次以上失败登录就触发通知。
这种轻量级告警方案适合没有商业SIEM的环境，成本为零且响应速度足够快。
定期审计日志配置是否被篡改
攻击者进入系统后，第一件事往往是关闭审计策略或修改日志配置。因此需要定期检查关键审核策略是否仍然启用。可以使用auditpol命令导出当前审核策略：
auditpol /get /category:*
将输出结果与基线配置对比，任何意外变更都需要调查。同时检查安全日志服务是否正常运行，事件日志文件路径是否被修改。可以将auditpol输出结果保存为文本文件，通过计划任务每天自动比对，发现差异立即告警。
另外要限制对日志文件本身的访问权限。默认情况下只有管理员和SYSTEM账户可以访问安全日志文件，但要注意不要将普通用户加入Event Log Readers组，除非有明确的审计需求。
针对远程桌面和网络登录的专项监控
Windows服务器最常见的攻击入口是远程桌面协议。除了记录4624和4625事件外，还应关注登录类型字段。类型10表示远程交互式登录，类型3表示网络登录（如共享访问）。如果一台服务器只允许管理员通过RDP登录，那么任何非管理员账户出现类型10的4624事件都值得警惕。
可以在PowerShell中筛选所有类型10的登录事件：
Get-WinEvent -FilterHashtable @{LogName='Security';Id=4624} | Where-Object {$_.Properties[8].Value -eq 10} | Select-Object TimeCreated,@{n='User';e={$_.Properties[5].Value}},@{n='SourceIP';e={$_.Properties[18].Value}}
对于网络登录，重点关注来自非信任IP的访问。如果服务器对外开放了SMB端口，5140和5145事件会记录共享访问详情，包括访问的文件路径和客户端IP。这些事件需要启用“审核文件共享”和“审核详细文件共享”高级策略。
日志记录不是终点，持续分析才是关键
启用日志只是第一步，真正的价值在于持续分析和响应。建议每周至少花半小时检查关键服务器的安全日志，重点关注新出现的账户、组成员变更、异常登录时间、异常源IP和日志清除事件。对于重复出现的失败登录，要及时封禁源IP或调整防火墙规则。
如果服务器数量较多，可以考虑使用开源日志分析工具进行聚合和规则匹配。但即使没有额外工具，仅靠Windows自带的事件查看器和PowerShell，配合合理的策略配置，也能构建起一套有效的追踪体系。关键在于策略要覆盖全面、日志要保留足够长、管理员要养成定期查看的习惯。
