Ao configurar o Windows EventLog Forwarding (WEF), a máquina de encaminhamento mantém uma cópia local do log?

Question

Estou curioso para saber se o servidor que encaminha esses logs mantém uma cópia local além do encaminhamento, ou se todos os logs que ele gera são encaminhados imediatamente para o coletor? Não consigo encontrar informações detalhadas sobre isso em nenhum procedimento de configuração. Parece que a máquina de encaminhamento mantém uma cópia por padrão. Estou tentando configurar um servidor de log centralizado para manter o espaço em disco local livre de arquivos de log grandes.

Referenciado:

• Use o encaminhamento de eventos do Windows para ajudar na detecção de invasões
• Prática recomendada para configurar o encaminhamento de EventLog no Windows Server 2012 R2
• Monitorando o que importa – Encaminhamento de Eventos do Windows para todos
• Como configurar o encaminhamento de log de eventos do Windows no Windows Server 2016

Answer 1

O encaminhamento de eventos não faz nada com o conteúdo do log local. Os logs locais permanecem e expiram de acordo com a política de substituição do log de eventos.