Ao configurar o Windows EventLog Forwarding (WEF), a máquina de encaminhamento mantém uma cópia local do log?

Question

Estou curioso para saber se o servidor que encaminha os referidos logs mantém uma cópia local além de encaminhar, ou se todos os logs que gera são encaminhados imediatamente para o coletor? Não consigo encontrar informações detalhadas sobre isso em nenhum procedimento de configuração. Parece que a máquina de encaminhamento mantém uma cópia por padrão. Estou tentando configurar um servidor de registro centralizado para manter o espaço em disco local livre de grandes arquivos de registro.

Referenciado:

• Use o Encaminhamento de Eventos do Windows para ajudar na detecção de intrusão
• Prática recomendada para configurar o encaminhamento de EventLog no Windows Server 2012 R2
• Monitorar o que é importante - Encaminhamento de eventos do Windows para todos
• Como configurar o encaminhamento de log de eventos do Windows no Windows Server 2016

Answer 1

O encaminhamento de eventos não faz nada com o conteúdo do log local. Os logs locais permanecem e expiram de acordo com a política de substituição do log de eventos.