Windows 事件转发（WEF）简述

把多台机器日志汇到收集器：源机订阅（源启动订阅）+ 收集器配置；是原生集中日志方案，配合 WEC 使用。

用途	集中收集事件日志
组成	源计算机（source-initiated 订阅）+ 收集计算机（Collector）
命令	wecutil cs 创建订阅、wecutil qc 配置收集器；GPO 可统一下发

常用示例

:: 收集端：配置收集器服务
wecutil qc
:: 查看已有订阅
wecutil es
:: 创建订阅（示例）
wecutil cs subscription.xml

WEF 传输走 WinRM(5985/5986)：防火墙与证书要一起规划；高吞吐场景评估 WEF 限制。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌