configuring-windows-event-logging-for-detection

name	configuring-windows-event-logging-for-detection
description	配置 Windows 事件日志与高级审计策略，以生成高质量安全事件用于威胁检测和取证调查。 适用于为登录事件、进程创建、权限使用和对象访问启用审计策略，以支撑 SIEM 检测规则的场景。
domain	cybersecurity
subdomain	endpoint-security
tags	["endpoint","windows-security","event-logging","audit-policy","detection-engineering"]
version	1.0.0
author	mahipal
license	Apache-2.0

配置用于检测的 Windows 事件日志

使用场景

在以下情况下使用本技能：

• 配置 Windows 高级审计策略以实现安全监控
• 启用带命令行日志记录的进程创建审计（事件 4688）
• 设置登录/注销审计以进行身份认证监控
• 调整事件日志存储大小并转发到 SIEM 平台

不适用于 Sysmon 配置（独立技能）或 Linux 审计日志。

操作流程

步骤 1：通过 GPO 配置高级审计策略

计算机配置 → Windows 设置 → 安全设置
  → 高级审计策略配置 → 审计策略

推荐设置：
账户登录：
  - 审计凭据验证：成功、失败
  - 审计 Kerberos 认证：成功、失败

账户管理：
  - 审计安全组管理：成功
  - 审计用户账户管理：成功、失败

登录/注销：
  - 审计登录：成功、失败
  - 审计注销：成功
  - 审计特殊登录：成功
  - 审计其他登录/注销事件：成功、失败

对象访问：
  - 审计文件共享：成功、失败
  - 审计可移动存储：成功、失败
  - 审计 SAM：成功

策略更改：
  - 审计审计策略更改：成功、失败
  - 审计身份验证策略更改：成功

权限使用：
  - 审计敏感权限使用：成功、失败

详细跟踪：
  - 审计进程创建：成功
  - 审计 DPAPI 活动：成功、失败

步骤 2：在进程创建事件中启用命令行记录

# 注册表：在事件 4688 中启用命令行日志记录
New-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Audit" `
  -Name ProcessCreationIncludeCmdLine_Enabled -Value 1 -PropertyType DWORD -Force

# GPO：计算机配置 → 管理模板 → 系统 → 审计进程创建
# "在进程创建事件中包含命令行" → 已启用

步骤 3：配置事件日志大小

# 将安全日志增加到 1 GB（默认 20 MB 不够用）
wevtutil sl Security /ms:1073741824

# 增加 PowerShell Operational 日志
wevtutil sl "Microsoft-Windows-PowerShell/Operational" /ms:536870912

# 设置日志保留策略为按需覆盖
wevtutil sl Security /rt:false

# 通过 GPO 配置：
# 计算机配置 → 管理模板 → Windows 组件
#   → 事件日志服务 → 安全
# 最大日志文件大小（KB）：1048576

步骤 4：配置 Windows 事件转发（WEF）

# 在收集器服务器上：
wecutil qc /q

# 为高价值事件创建订阅：
# 事件 ID：4624（登录）、4625（登录失败）、4688（进程创建）、
# 4672（特殊权限）、4720（创建用户）、4728（组成员变更）、
# 7045（安装服务）、1102（日志清除）

# 在源端点上（GPO）：
# 配置 WinRM：winrm quickconfig
# 配置事件转发：计算机配置 → 管理模板
#   → Windows 组件 → 事件转发
# 配置目标订阅管理器：Server=http://collector:5985/wsman/SubscriptionManager/WEC

步骤 5：用于检测的关键事件 ID

认证事件：
  4624 - 登录成功（类型 2=交互式, 3=网络, 10=远程交互式）
  4625 - 登录失败
  4648 - 使用显式凭据登录（RunAs、哈希传递指示器）
  4672 - 分配特殊权限（管理员登录）
  4776 - NTLM 凭据验证

进程事件：
  4688 - 进程创建（启用后含命令行）
  4689 - 进程终止

账户事件：
  4720 - 创建用户账户
  4722 - 启用用户账户
  4724 - 尝试重置密码
  4728 - 成员添加到安全组
  4732 - 成员添加到本地组
  4756 - 成员添加到通用组

服务/系统事件：
  7045 - 安装新服务（持久化指示器）
  1102 - 清除审计日志（证据篡改）
  4697 - 在系统中安装服务

横向移动指示器：
  4648 + 4624(类型 3) - 基于凭据的横向移动
  5140 - 访问网络共享
  5145 - 网络共享访问检查（详细文件共享）

关键概念

术语	定义
高级审计策略	细粒度审计子类别（58 个子类别，对比基本的 9 个类别）
事件 ID 4688	进程创建事件；对跟踪端点上的执行行为至关重要
WEF	Windows 事件转发（Windows Event Forwarding），无需第三方代理即可集中收集日志
登录类型	表示认证方式的数字代码（2=交互式, 3=网络, 10=RDP）

工具与系统

• Windows 事件转发（WEF）：内置集中式日志收集
• NXLog：用于 Windows 事件的开源日志转发代理
• Winlogbeat：将 Windows 事件日志传送到 Elasticsearch 的 Elastic Agent
• Palantir WEF 配置：开源 WEF 订阅模板

常见误区

• 使用基本审计策略而非高级策略：基本和高级审计策略会产生冲突，始终只使用高级审计策略。
• 默认日志大小过小：繁忙服务器上 20 MB 的安全日志几分钟就会写满。最小设置为 1 GB。
• 缺少命令行日志记录：没有命令行内容的事件 4688 几乎没有检测价值。务必启用 ProcessCreationIncludeCmdLine_Enabled。
• 未转发日志：端点被勒索软件清除时，本地事件日志也会丢失。应立即转发到集中式 SIEM。