如何查看电脑系统审计有没有开启
最新回答
瞳孔渲染柔情╮
2026-06-01 09:32:50
一、Windows系统审计开启状态查看
需通过本地安全策略或事件查看器验证：
1. 本地安全策略法
• 右键点击“此电脑”→选择“管理”→展开“系统工具”→“本地安全策略”；
• 进入“本地策略”→“审计策略”，查看“审计账户登录事件”“审计对象访问”等关键策略是否已启用（若未启用则审计功能未开启）。
2. 事件查看器验证
• 按下`Win+R`输入`eventvwr.msc`打开事件查看器；
• 展开“Windows日志”→“安全”，若存在审计相关事件记录（如事件ID 4624、4728等），说明审计功能已开启。
二、Linux系统审计开启状态查看
需通过命令行工具验证审计服务（auditd）状态：
1. 服务状态查询
• 执行命令`systemctl is-enabled auditd`，若返回`enabled`则为开机自启；
• 执行`systemctl status auditd`，若显示`active (running)`则服务正在运行（审计功能已开启）。
2. 审计规则验证
• 查看审计规则文件`cat /etc/audit/audit.rules`，若包含`-w /etc/passwd -p wa`等监控规则，说明审计功能已配置并生效；
• 执行`auditctl -s`，若`enabled=1`则表示审计功能处于开启状态。
三、补充说明
• 若Windows系统未找到“本地安全策略”，可通过`gpedit.msc`打开组策略编辑器，路径为“计算机配置→Windows设置→安全设置→本地策略→审计策略”；
• Linux系统中，审计日志默认存储于`/var/log/audit/audit.log`，可通过`tailf /var/log/audit/audit.log`实时查看审计记录。
热门标签
