转发事件日志

Question

我继续并成功地配置了事件生成和订阅(winrm/wecutil)。现在，是否有可能有所有的日志已经碰巧被收集到我的收藏家？还是只有未来的事件才会被记录下来？

Answer 1

你可以试试这个：

WECUtil SS "SubscriptionName“/cm:custom /ree:true

这应该在订阅开始之前完成。换句话说，在创建订阅之后，禁用它，然后运行上面的命令，然后重命名它。然后，列表将填充

http://blog.zenshaze.com/2011/06/13/event-forwarding-of-security-logs/

Answer 2

添加以下内容：

<ReadExistingEvents>true</ReadExistingEvents>

到您的订阅xml-配置文件，在<Subscription>标记中。