大幅节省，更好的投资回报率！ ManageEngine 产品的独家折扣！* 推动您的业务 *适用条款和条件

#### 帮助文档

- 首页

- 相关产品
- ADManager Plus

  AD域管理与报表

  下载 | 演示
- ADSelfService Plus

  自助密码管理

  下载 | 演示
- EventLog Analyzer

  实时日志分析与报表

  下载 | 演示
- Exchange Reporter Plus

  Exchange 服务器审计与报表

  下载 | 演示
- AD360

  集成身份与访问管理

  下载 | 演示
- Log360

  全面的SIEM和UEBA

  下载 | 演示

点击这里以扩展

# 配置审计策略 - 手动过程

## 配置要审核的Windows工作站列表

1. 打开 Active Directory用户和计算机。
2. 右键单击域并选择 新建 > 组。
3. 在弹出的 新建对象 - 组窗口中，输入“ADAuditPlusWS”作为 组名，选择 组范围：域本地 和 组类型：安全。点击 确定。
4. 右键单击新创建的组，然后选择 属性 > 成员 > 添加。将所有您希望审核的Windows工作站添加为该组的成员。点击 确定。
5. 使用域管理员凭据登录到任何安装有 组策略管理控制台(GPMC) 的计算机。

注意：GPMC默认情况下不会安装在工作站和/或成员服务器上，因此我们建议在Windows域控制器上配置审核策略。否则，请按照本页面中的步骤在您所需的成员服务器或工作站上安装GPMC。

6. 转到 开始 > Windows管理工具 > 组策略管理。
7. 在 GPMC中，右键单击您要配置组策略的域。选择 创建GPO并链接到此处。在弹出的 新建GPO窗口中，输入“ADAuditPlusWSPolicy”并点击 确定。
8. 选择 <域名>_ADAuditPlusWSPolicy GPO。在 安全筛选下，选择 经过身份验证的用户。点击 删除。在弹出的 组策略管理窗口中，选择 确定。
9. 选择 <域名>_ADAuditPlusWSPolicy GPO。在 安全筛选下，点击 添加 并选择之前创建的安全组ADAuditPlusWS。点击 确定。

## 配置高级审核策略

按照以下步骤手动配置审核策略：

1. 使用域管理员凭据登录到任何安装有 GPMC的计算机。
2. 转到 开始 > Windows管理工具 > 组策略管理。
3. 右键单击GPO <域 名>_ADAuditPlusWSPolicy 并选择 编辑。
4. 在 组策略管理编辑器中，按照以下步骤操作：

注意：高级审核策略配置仅在Windows Server 2008或更高版本中可用。如果您使用的是 较旧版本的Windows，请配置遗留审核策略。建议您配置高级审核策略而不是遗留审核策略，以防止存储不必要的事件数据日志，因为遗留策略包含更多不必要的事件。

5. 选择 计算机配置 > 策略 > Windows设置 > 安全设置 > 高级审核策略配置 > 审核策略。
6. 点击、启用并保存如下所示的审核策略：

高级审核策略 | 审核事件
--- | ---
类别 | 子类别 |
账户管理 | 审核计算机账户管理 | 成功
审核分发组管理 | 成功
审核安全组管理 | 成功
审核用户账户管理 | 成功和失败
详细跟踪 | 审核即插即用 活动 | 成功和失败
登录/注销 | 审核注销 | 成功
审核登录 | 成功和失败
审核网络策略服务器 | 成功和失败
审核其他登录/注销事件 | 成功和失败
对象访问 | 审核文件共享 | 成功和失败
审核文件系统 | 成功和失败
审核句柄操作 | 成功
审核其他对象访问事件 | 成功
审核可移动存储 | 成功和失败
策略变更 | 审核身份验证策略变更 | 成功
审核授权策略变更 | 成功
系统 | 审核安全状态变更 | 成功

## 强制执行高级审核策略

根据以下步骤手动强制执行高级审核策略：

1. 右键单击 <域名>_ADAuditPlusWSPolicy 从GPMC中。
2. 在 组策略管理编辑器中，按照以下步骤操作：
3. 选择 计算机配置 > 策略 > Windows设置 > 安全设置 > 本地策略 > 安全选项 > 审核: 强制审核策略子类别设置 (Windows Vista或更高版本) 以覆盖审核策略类别设置。
4. 启用该策略并 单击 确定。

## 配置遗留审核策略

根据以下步骤手动配置遗留审核策略：

1. 转到 开始 > Windows管理工具 > 组策略管理。
2. 右键单击GPO <域名>_ADAuditPlusWSPolicy 并选择编辑。
3. 在 组策略管理编辑器中，按照以下步骤操作：

注意： 高级审计策略配置仅在 Windows Server 2008 或更高版本中可用。如果您使用的是较旧版本的 Windows，请配置遗留审计策略。建议您配置高级审计策略，而不是遗留审计策略，以防止存储不必要的事件数据日志，因为遗留策略包含更多不需要的事件。

4. 选择计算机配置 > 策略 > Windows 设置 > 安全设置 > 本地策略 > 审计策略。
5. 单击、启用并保存审计策略，如下所示：

本地审计策略 | 审计事件
--- | ---
类别 |
审计账户管理 | 成功与失败
审计登录事件 | 成功
审计对象访问 | 成功与失败
审计策略变更 | 成功
审计系统事件 | 成功

## 在此页面

获取下载链接