Windows事件转发配置方法及日志集中收集指南

本文详细介绍了如何在Windows环境中配置事件转发功能，实现多台计算机日志的集中收集与统一审计，涵盖收集器端服务启用、源端WinRM配置与防火墙开放、收集器发起式订阅创建、关键日志（尤其是Security日志）的权限授权（重点解决S-1-5-20账户读取问题），以及端到端的验证方法；步骤清晰、命令可直接复用，是运维人员构建高效、合规日志监控体系的实用指南。

如果您希望在Windows环境中集中收集多台计算机的事件日志，以便统一监控与审计，则需配置Windows事件转发功能。该机制依赖于Windows事件收集器服务与订阅关系，通过WinRM协议传输事件数据。以下是实现此目标的具体步骤：

一、在收集器计算机上启用事件收集器服务

事件收集器服务（Windows Event Collector）是接收并存储转发事件日志的核心组件，必须在作为中央日志服务器的计算机上启用并配置为自动启动。

1、以管理员身份运行PowerShell。

2、执行命令：Start-Service WecSvc 启动服务。

3、执行命令：Set-Service WecSvc -StartupType Automatic 设置开机自启。

4、执行命令：wevtutil im "%SystemRoot%\System32\WecSrv.man" 安装事件收集器事件日志清单。

二、在所有源计算机上启用WinRM并配置防火墙

事件转发依赖WinRM（Windows Remote Management）进行安全通信，源计算机必须允许远程事件查询请求，并开放对应端口。

1、以管理员身份运行PowerShell。

2、执行命令：winrm quickconfig -quiet 启用WinRM服务并应用默认配置。

3、执行命令：winrm set winrm/config/client '@{TrustedHosts="收集器IP地址"}' 将收集器IP加入受信任主机列表。

4、执行命令：netsh advfirewall firewall add rule name="WinRM-HTTP" dir=in action=allow protocol=TCP localport=5985 开放HTTP端口5985。

三、在收集器计算机上创建事件订阅

订阅定义了从哪些源计算机、按何种条件（如日志类型、级别、时间范围）拉取事件，支持“源发起”和“收集器发起”两种模式；此处采用推荐的收集器发起模式（Collector Initiated Subscription）。

1、打开“事件查看器” → 右键“订阅” → 选择“创建订阅”。

2、在“选择计算机”页中，点击“添加” → 输入源计算机的主机名或IP地址 → 点击“确定”。

3、在“选择事件日志”页中，勾选需要转发的日志，例如：Security、System、Application、Microsoft-Windows-PowerShell/Operational。

4、在“设置”页中，将“交付优化”设为“按需交付”，并将“最大缓存大小”设为不小于10240 KB。

四、在源计算机上授权收集器访问事件日志

默认情况下，只有本地Administrators组成员可读取安全日志等敏感日志；需显式授予收集器计算机的计算机账户读取权限，否则订阅将无法获取Security日志。

1、在源计算机上，以管理员身份运行PowerShell。

2、执行命令：wevtutil sl Security /ca:"O:BAG:SYD:(A;;0x1;;;S-1-5-20)" 重置Security日志访问控制列表（ACL）。

3、执行命令：wevtutil gl Application | findstr "ChannelAccess" 检查Application日志当前ACL字符串。

4、使用wevtutil sl 日志名称 /ca:"新ACL字符串" 命令为其他关键日志（如System）追加S-1-5-20（NT AUTHORITY\NETWORK SERVICE）的读取权限。

五、验证事件转发是否正常工作

订阅创建后不会立即触发首次同步，需手动刷新或等待下一次计划轮询；验证过程需确认源端事件生成、网络可达性及收集器端日志入库状态。

1、在源计算机上执行：wevtutil qe Security /q:"*[System[(EventID=4624)]]" /c:1 查看最近一次成功登录事件。

2、在收集器计算机的“事件查看器” → “订阅” → 右键对应订阅 → 选择“刷新”。

3、展开“事件查看器（本地）” → “应用程序和服务日志” → “Microsoft” → “Windows” → “EventCollector” → “Operational”，检查ID为102（订阅激活）和104（事件接收成功）的事件。

4、在“订阅”节点下双击已启用的订阅，查看“事件”窗格中是否出现来自源计算机的实时条目。

终于介绍完啦！小伙伴们，这篇关于《Windows事件转发配置方法及日志集中收集指南》的介绍应该让你收获多多了吧！欢迎大家收藏或分享给更多需要学习的朋友吧~golang学习网公众号也会发布文章相关知识，快来关注吧！