Windows 事件转发简述
Windows 事件转发（WEF）是系统原生的集中日志方案：源计算机按订阅把本地事件推送到收集器，由收集器统一存储与查询，管理工具是 wecutil。传输依赖 WinRM（5985 或 5986），因此防火墙与证书需要一起规划。它解决的是「日志分散在成百上千台机器上」的问题，让排查与合规留存都有统一入口。
基本信息
| 适用平台 | Windows 客户端与服务器（域或工作组） |
|---|---|
| 组成 | 源计算机（源启动订阅）与收集计算机（Collector） |
| 管理命令 | wecutil qc 初始化收集器、wecutil cs 创建订阅、wecutil es 列出订阅 |
| 传输通道 | WinRM 5985 HTTP / 5986 HTTPS |
| 规模下发 | 可用组策略统一下发订阅配置 |
典型使用场景
- 把多台服务器的事件集中到一台收集器，便于统一查询
- 满足合规要求，集中留存关键通道的日志
- 故障排查时在收集器上一次性检索多台机器的事件
- 为安全分析提供集中数据源，配合告警规则使用
- 跨网段或工作组场景用 HTTPS 与证书保障传输安全
常用示例
常用示例
wecutil qc REM 收集端：快速配置收集器服务
wecutil es REM 列出已有订阅
wecutil cs subscription.xml REM 用 XML 文件创建订阅
wecutil gs <订阅名> REM 查看订阅配置与运行状态
:: 源端与收集端两侧都要配置，单侧配好不会生效
:: 跨域或工作组场景需要证书信任链，走 5986 HTTPS组件职责
| 组件 | 职责 | 配置要点 |
|---|---|---|
| 收集器 | 接收并存储事件 | wecutil qc 初始化服务 |
| 源计算机 | 按订阅推送事件 | 通过订阅或策略下发 |
| 订阅 | 定义事件范围与目标 | 有源启动与收集器启动两种模式 |
| WinRM | 实际传输通道 | 端口与防火墙规则一起规划 |
订阅配置必须两侧对齐：源端要有推送依据，收集端要有对应订阅，只有一侧配置好是不会生效的，这是初次部署最常见的坑。
跨域或工作组场景需要证书信任链，成本与运维复杂度都不低；规划阶段就应把证书签发与续期流程一起考虑进去。