auditpol

查看和配置 Windows 审核策略，控制安全事件的记录范围。

补充说明

auditpol 管理本地审核策略，可按类别或子类别开启成功/失败审核，也支持备份和恢复整套策略。它只决定“记录什么”，事件是否落盘还取决于 Security 日志大小与保留设置。

高级审核策略通常由组策略下发；本地 auditpol 设置可能被 GPO 覆盖。排障时应同时检查 auditpol /get 和 gpresult /h，确认最终生效来源。修改策略需要管理员权限和“管理审核和安全日志”权限。

Windows Server 2016+ 与 Windows 10/11 均可用。PowerShell 没有完整的审核策略 cmdlet，通常仍用 auditpol 配合 Get-WinEvent 验证事件。

常用示例

# 查看所有类别的审核状态
C:\> auditpol /get /category:*

# 以 CSV 格式查看指定子类别，便于导入表格比对
C:\> auditpol /get /subcategory:"Logon" /r

# 列出所有子类别名称，确认本地化后的准确拼写
C:\> auditpol /list /subcategory:*

# 影响范围：开启登录成功/失败审核会增加 Security 日志量，可能快速覆盖旧事件
# 备份/回滚：先 auditpol /backup 保存当前策略；回滚用 /restore 恢复
C:\> auditpol /set /subcategory:"Logon" /success:enable /failure:enable

# 备份全部审核策略到 CSV
C:\> auditpol /backup /file:C:\Temp\auditpol-backup.csv

# 影响范围：/clear 会把所有审核策略重置为默认，造成审计缺口
# 备份/回滚：必须先 /backup；回滚用 auditpol /restore /file:备份文件
C:\> auditpol /clear /y

# 从备份恢复审核策略
C:\> auditpol /restore /file:C:\Temp\auditpol-backup.csv

易错点与排错

• 设置成功但事件没有出现 → 子类别名称写错或被 GPO 覆盖 → 用 auditpol /get /subcategory:"<名称>" 与 gpresult /h 双重确认。
• 设置了类别却只部分生效 → 子类别策略优先于类别策略 → 用 /subcategory 精确设置，避免混用。
• 中文系统上英文子类别名报错 → 显示名称已本地化 → 先 auditpol /list /subcategory:* 取准确名称。
• 日志很快被覆盖 → 审核量增大但 Security 日志容量太小 → 用 wevtutil gl Security 查看，并调整最大大小。
• auditpol /clear 后合规检查失败 → 策略被重置为默认 → 立即用事先备份的 CSV 执行 /restore。
• 在成员机上改了策略，域内其他机器未变化 → 审核策略是本地设置，未通过 GPO 下发 → 用组策略统一部署。

相关命令

• wevtutil — 查询和导出审核产生的事件
• gpresult — 确认组策略是否覆盖本地审核设置
• gpupdate — 刷新并应用域下发的审核策略
• sc — 检查 Security 日志相关服务状态
• journalctl — Linux 审计日志对照

参考链接

• Microsoft Learn: auditpol
• Microsoft Learn: Advanced security audit policy settings

读完自测

1. auditpol 配置完成后，为什么可能仍看不到事件？
2. 修改审核策略前应如何备份和回滚？
3. 类别策略与子类别策略冲突时，哪个优先？