設定 Windows EventLog 轉送 (WEF) 時，轉送電腦是否保留日誌的本機副本？

Question

我很好奇伺服器轉發所說的日誌除了轉發之外是否還保留本地副本，或者它生成的所有日誌是否立即轉發到收集器？我在任何設定過程中都找不到有關此內容的詳細資訊。看來轉送機器預設保留一份副本。我正在嘗試設定一個集中式日誌伺服器，以保持本地磁碟空間沒有大型日誌檔案。

參考：

• 使用 Windows 事件轉送來幫助入侵偵測
• 在 Windows Server 2012 R2 中設定 EventLog 轉送的最佳實踐
• 監控重要事項 - 適合所有人的 Windows 事件轉發
• 如何在 Windows Server 2016 中設定 Windows 事件日誌轉發

Answer 1

事件轉發不會對本機日誌內容執行任何操作。本地日誌保留並根據事件日誌覆蓋策略過期。