Win11系统审核策略开启教程：登录与文件访问审计设置指南

在Windows 11中检查系统登录或文件访问记录时，你是否发现事件查看器的“安全”日志里缺少关键的4624、4625或4663事件？这通常并非系统故障，而是相关的审核策略未被启用。本文将系统性地介绍从基础到高级的配置步骤，帮助你完整启用这些安全审计功能。

长期稳定更新的攒劲资源： >>>点此立即查看<<<

一、通过本地安全策略启用基础审核

这是构建审计功能的基础步骤，适用于未加入域的专业版、企业版及教育版系统。该方法主要启用五项核心策略，为后续的详细审计提供支持。

操作流程如下：按下Win + R组合键，输入secpol.msc并回车，打开本地安全策略。在左侧导航栏中，依次进入本地策略 → 审核策略。右侧将列出多项策略，需要重点关注以下五项：

审核账户登录事件
审核登录事件
审核对象访问
审核特权使用
审核策略更改

逐一双击上述策略，在弹出的设置窗口中，同时勾选“成功”与“失败”两个选项，然后点击确定。此操作指示系统记录相关操作的成功与失败尝试。

二、通过组策略编辑器配置高级审核子项

完成基础设置后，若需更精确地控制记录哪些具体事件，可以使用组策略编辑器。此方法允许按事件子类别进行精细化管理，有助于避免日志被无关信息填充。请注意，此步骤生效的前提是上一步中的“审核对象访问”策略已启用。

按下Win + R，输入gpedit.msc打开组策略编辑器。依次导航至：计算机配置 → Windows 设置 → 安全设置 → 高级审核策略配置 → 系统审核策略。

在此处，可以启用更具体的审计子策略。建议至少启用以下几项：

在登录/注销类别下，启用“账户登录”和“登录”。
在对象访问类别下，启用“文件系统”和“文件共享”。
在特权使用类别下，启用“特权使用”。
在详细跟踪类别下，启用“进程创建”。

将每项子策略设置为“已启用”，并同样勾选成功与失败。配置完成后，建议返回计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 审核策略路径，确认“审核对象访问”的状态为已启用，以确保配置生效。

三、为特定文件夹配置SACL以记录文件访问

启用了全局审计策略后，为何访问特定文件夹时安全日志仍无记录？关键在于需要为具体对象配置SACL（系统访问控制列表）。这类似于安装了监控摄像头（启用策略），但还需指定摄像头的监控范围（配置SACL）。

对于需要监控的敏感文件夹，请按以下步骤添加SACL条目：

1. 找到目标文件夹，右键点击并选择【属性】。
2. 切换到【安全】选项卡，点击下方的【高级】按钮。
3. 在新窗口中，进入【审核】选项卡，点击【添加】。
4. 点击【选择主体】，输入Everyone（审计所有用户）或指定的用户名/组名，然后确定。
5. 在【应用于】下拉菜单中，通常选择“此文件夹、子文件夹和文件”以确保审计范围完整。
6. 在权限列表中，勾选需要记录的操作类型，例如“读取数据/列出目录”、“写入数据/添加文件”、“删除子文件夹和文件”等。
7. 重要步骤：为每一项勾选的操作，分别勾选旁边的【成功】和【失败】复选框。
8. 最后，依次点击【确定】关闭所有窗口。

四、强制刷新策略并验证日志记录

所有配置完成后，策略通常不会立即生效，且需确保日志有足够空间存储新事件。

首先，以管理员身份打开命令提示符或PowerShell，执行命令：gpupdate /force。此命令强制系统立即更新所有策略。

其次，配置日志设置：右键点击开始菜单，选择【事件查看器】。在左侧面板，依次展开Windows 日志 → 安全日志。

接着，右键点击【安全】日志，选择【属性】。建议将最大日志大小设置为至少1024MB。在【当日志达到最大值时】选项中，选择“按需要覆盖事件（最旧事件最先覆盖）”。此设置可确保日志满时自动覆盖最旧记录，持续记录新的审计事件。

完成以上步骤后，Windows 11的安全审计功能便已完整配置。此时，尝试登录系统或访问已配置SACL的文件夹，然后在事件查看器中刷新安全日志，即可查看到相应的4624、4663等事件记录。