Windows加固-日志配置

提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档

---

审核策略：

审核登录事件:审核账户的登录或注销操作。
审核对象访问:审核对文件或文件夹等对象的操作。
审核过程跟踪:审核应用程序的启动和关闭。
审核目录服务访问:审核对活动目录的各种访问。
审核特权使用:审核用户执行用户权限的操作，如更改系统时间等。
审核系统事件:审核与系统相关的事件，如重新启动或关闭计算机等。
审核账户登录事件:审核账户的登录或注销另一台计算机(用于验证账户)的操作。
审核账户管理:审核与账户管理有关的操作。

审核策略

审核策略更改

原因：启动本地安全策略中对Windows系统的审核策略更改，可以使得无论操作成功或者失败都需要审核，当有非法入侵时，都会被安全审核记录下来，例如：用户登录使用的账号，时间，是否成功，远程登录时用户使用的ip地址；
配置：
打开控制面板>管理工具>本地安全策略，在本地策略>审核策略中，设置审核策略更改，这些 审核策略在默认情况下都是未开启的。
选择窗格中的”审核策略更改”策略选项，打开“审核策略更改”的“属性”对话框,在“本地安全设置”选项卡中，选中“成功”和"失败”复选框，单击“确定”按钮。

日志记录

设置防火墙日志文件路径

原因：使用这个选项可以指定Windows防火墙将在其中写入其日志信息的文件的路径和名称。（也就是防火墙的日志写在哪）
配置：
打开控制面板>管理工具>本地安全策略，打开高级安全Windows防火墙- >高级安全Windows防火墙> Windows防火墙属性>域配置文件->日志->自定义,配置防火墙日志文件路径。

日志文件大小

配置：
打开控制面板>管理工具>事件查看器，配置应用日志、系统日志、安全日志属性中的日志大小，以及设置当达到最大的日志尺寸时的相应
策略。