如何使用PowerShell查询Audit Policy审计策略的安全设置值

解决方法 #

一、auditpol 正确使用方式 #

你之前拿不到配置值的核心原因是没有以管理员身份运行命令行/PowerShell，普通用户权限下执行auditpol查询只会返回类别结构，不会返回成功/失败审计的配置值。另外auditpol /list /category本身就是仅用于枚举类别列表的命令，设计上就不返回配置结果。

正确查询所有审计策略配置的命令：

# 以表格形式返回所有类别的审计配置，包含成功/失败/无审计的配置值
auditpol /get /category:*

# 加上/r参数会输出CSV格式的结构化结果，更便于后续处理筛选
auditpol /get /category:* /r

# 如果你要查询指定子类别的配置，比如查询登录事件的审计策略
auditpol /get /subcategory:"登录"

二、使用secedit导出全量安全策略 #

如果需要一次性导出所有本地安全策略（包含审计策略），可以用系统自带的secedit工具：

# 导出所有安全策略到指定路径的文本文件
secedit /export /cfg C:\audit_policy.txt /areas SECURITYPOLICY

导出的文件中可以直接搜索Audit开头的配置项，对应取值含义：

• 0：无审计
• 1：仅成功审计
• 2：仅失败审计
• 3：成功+失败审计

三、PowerShell 原生命令查询（适用Win10/Server 2016及以上版本） #

系统自带的SecurityPolicy模块提供了更结构化的查询方式：

# 导入模块
Import-Module SecurityPolicy

# 查询所有审计策略配置
Get-AuditPolicy -All

内容的提问来源于stack exchange，提问作者hehehe