Сохраняет ли машина пересылки локальную копию журнала при настройке пересылки журнала событий Windows (WEF)?

Question

Мне любопытно, сохраняет ли сервер, пересылающий указанные журналы, локальную копию в дополнение к пересылке, или все журналы, которые он генерирует, немедленно отправляются сборщику? Я не могу найти подробную информацию об этом ни в одной процедуре настройки. Похоже, что пересылающая машина хранит копию по умолчанию. Я пытаюсь настроить централизованный сервер журналов, чтобы на локальном диске не было больших файлов журналов.

Ссылка:

• Использование пересылки событий Windows для обнаружения вторжений
• Рекомендации по настройке пересылки журнала событий в Windows Server 2012 R2
• Мониторинг важного - переадресация событий Windows для всех
• Как настроить пересылку журнала событий Windows в Windows Server 2016

Answer 1

Пересылка событий ничего не делает с содержимым локального журнала. Локальные журналы остаются и устаревают в соответствии с политикой перезаписи журнала событий.