查看 Windows 高级审核策略（auditpol /get）
一条命令列出所有审核子类别的启用状态——翻事件查看器之前，先看 Windows 实际记录了什么。
运行 auditpol /get /category:* 即可列出每个审核子类别的启用/禁用状态。
01命令
命令
$ auditpol /get /category:*02作用说明
组策略写的是一回事，实际生效的审核状态可能是另一回事；auditpol 读取的是机器当前的实时状态，配合 /get /user 还能看到关键的“每用户”覆盖设置。它的另一个被遗忘的伙伴是 auditpol /clear /y，会把所有审核重置为“无审核”——很危险，但从零开始的正规做法。在启用“进程创建 + 命令行审核”之前，先查看现有的登录/对象访问子类别可以避免事件洪峰。
03风险
04撤销
✓无需撤销——该命令不会改变持久状态。
05来源
- auditpol | Microsoft Learn依据: Microsoft documents auditpol /get /category as displaying audit policy per category, with /category:* covering all nine categories and their subcategories.
- AUDITPOL - Windows CMD依据: SS64 documents auditpol /get /category:* to list every audit subcategory's enabled/disabled state, and /set to change it.
最后验证: 2026-09-17 · 分类: 安全与隐私