При настройке пересылки журнала событий Windows (WEF) сохраняет ли пересылающий компьютер локальную копию журнала?

Question

Мне интересно, сохраняет ли сервер, пересылающий указанные журналы, локальную копию в дополнение к пересылке, или все журналы, которые он генерирует, немедленно пересылаются в сборщик? Я не могу найти подробную информацию об этом ни в одной процедуре настройки. Похоже, что пересылающая машина сохраняет копию по умолчанию. Я пытаюсь настроить централизованный сервер журналирования, чтобы освободить локальное дисковое пространство от больших файлов журналов.

Ссылка:

• Используйте пересылку событий Windows для обнаружения вторжений
• Рекомендации по настройке пересылки EventLog в Windows Server 2012 R2
• Мониторинг важных вещей — пересылка событий Windows для всех
• Как настроить пересылку журнала событий Windows в Windows Server 2016

Answer 1

Пересылка событий не делает ничего с содержимым локального журнала. Локальные журналы остаются и устаревают в соответствии с политикой перезаписи журнала событий.