获取 Windows 事件 ID 列表并确定哪个审核策略启用事件记录的最有效方法是什么？

Question

我的环境中有大约 1500 台 Windows 服务器，其中 1000 台左右是 2012 R2，500 台是 2016。

我有一份大约 150 个事件 ID 的列表，我被告知要记录和存档这些事件 ID。我不知道需要启用哪种审计策略才能成功审计每个事件。我不想启用所有事件，因为这样做对性能的影响太大。除了研究电子表格中的每个事件 ID 并确定需要启用哪种审计策略之外，还有其他更好的方法来完成这项任务吗？

Answer 1

我知道我收藏这个网站是有原因的！

高级审计策略 – 哪个 GPO 对应哪个事件 ID

希望这能回答你的问题。

这里还有一些资源：

Windows 10 和 Windows Server 2016 安全审核和监控参考

Windows 安全审计事件电子表格

Answer 2

我会看看https://system32.eventsentry.com，它包含所有 Windows 安全事件及其相关审计子类别的完整列表。

我认为没有办法编写脚本，但希望这是一个起点。