問題
我嘗試將具有高級安全審核策略配置的 GPO 應用到 Windows 7 用戶端，但該設定未套用。
我用這篇文章仔細檢查了我的工作 -http://technet.microsoft.com/en-us/library/dd408940(v=ws.10).aspx
我確實啟用了審核：強制審核原則子類別設定（Windows Vista 或更高版本）以覆蓋審核原則類別設定
當我運行auditpol.exe /get /category:* 時，我發現僅應用了預設的高級審核設置，而不是我在新 GPO 中設置的設定。我知道 GPO 本身正在應用於計算機，因為 GPO 中存在其他設置，並且 RSOP 顯示 GPO 已成功應用。
我們在 OU 結構中有一個較高的 GPO，它應用了一些高級審核設置，因此我認為由於某種原因它會幹擾或覆蓋，但它們也沒有顯示在 Auditpol.exe /get /category:* 中。我執行了auditpol.exe /clear，它清除了策略
| |
在auditpol.exe /clear之後
|
類別/子類別設置
系統
安全系統擴展無審核
系統完整性無審核
IPsec 驅動程式無審核
其他系統事件不審計
安全狀態變更無需審核
登入/登出
登入不審核
註銷不審核
帳戶鎖定無審核
IPsec 主模式 無審核
IPsec 快速模式無審核
IPsec 擴充模式無審核
特殊登入無審核
其他登入/登出事件無審核
網路策略伺服器無審核
對象訪問
文件系統不審計
註冊處無審核
內核對象無審計
SAM 無審核
認證服務 無審核
應用程式產生未審核
處理操縱無審計
檔案共享無審核
過濾平台丟包不審計
過濾平台連線 不審核
其他對象存取事件無審核
詳細的文件共享無需審核
特權使用
敏感權限使用無審核
非敏感權限使用無審核
其他權限使用事件無審核
詳細追蹤
流程終止無審核
DPAPI 活動無審核
RPC 事件無審核
流程建立無需審核
政策變化
審計政策變更 無審計
身份驗證策略變更無審核
授權政策變更 無審核
MPSSVC 規則級策略變更 無審核
過濾平台政策變更 無審核
其他政策變更事件 無審計
帳號管理
用戶帳號管理 無審計
電腦帳戶管理 無審計
安全群組管理 無審計
分銷組管理 無審計
應用程式群組管理 無審計
其他帳戶管理事件 無審計
DS Access 目錄服務變更無審核
目錄服務複製無審核
詳細的目錄服務複製無審核
目錄服務存取無審核
帳號登入
Kerberos 服務票證操作無需審核
其他帳號登入事件不審核
Kerberos 驗證服務無審核
憑證驗證無審核
然後我執行了 gpupdate /force 並重新啟動，但 AuditPol 仍然顯示所有設定「無審核」。
我還刪除了audit.csv文件，該文件似乎包含結構中較高層GPO的設定（儘管我讀到它只包含本地設定），但不包含新的GPO，位於C:\Windows\security\audit和然後執行gpupdate /force。運行 gpupdate /force 後，該檔案已恢復，並且顯示 OU 結構中較高層 GPO 的預設設定和高級審核設置，而不是新的 GPO 設置，但auditpol 仍然顯示沒有對所有設定進行審核。另外，audit.csv 檔案修改日期是幾個月前的，所以我懷疑它是否只是從初始 GPO 中提取資訊？我嘗試強制執行新 GPO 並將其排名更高，但它仍然不適用。
環境
Windows 7 SP1 用戶端和 Windows 2008R2 DC
任何幫助表示讚賞。
答案1
在 Windows 7 / Vista 中：執行開始 > cmd.exe。
列出選項：
c:\auditpol /list /subcategory:*
類別/子類別
系統
- 安全狀態變化
- 安全系統擴展
- 系統完整性
- IPsec驅動程式
- 其他系統事件
登入/登出
- 登入
- 註銷
- 帳戶鎖定
- IPsec 主模式
- IPsec 快速模式
- IPsec 擴充模式
- 特殊登入
- 其他登入/登出事件
- 網路策略伺服器
對象訪問
- 檔案系統
- 登記處
- 核心物件
- 薩姆
- 認證服務
- 應用程式生成
- 手把操控
- 文件共享
- 過濾平台丟包
- 過濾平台連接
- 其他物件存取事件
- 詳細的文件共享
特權使用
- 敏感權限的使用
- 非敏感權限使用
- 其他特權使用活動
詳細追蹤
- 流程創建
- 行程終止
- DPAPI 活動
- RPC 事件
政策變化
- 審計政策變更
- 身份驗證策略變更
- 授權政策變更
- MPSSVC 規則級策略變更
- 過濾平台政策變更
- 其他政策變更事件
帳號管理
- 用戶帳號管理
- 電腦帳戶管理
- 安全群組管理
- 分銷組管理
- 應用程式群組管理
- 其他帳戶管理活動
DS訪問
- 目錄服務訪問
- 目錄服務變更
- 目錄服務複製
- 詳細的目錄服務複製
帳號登入
- 憑證驗證
- Kerberos 服務票證操作
- 其他帳號登入事件
- Kerberos 驗證服務
然後使用auditpol /set ...來設定值。如需更多協助，請使用auditpol /?.