日志大小与滚动策略配置

默认 20MB 对高事件量主机远远不够：按通道调大小（wevtutil sl /ms）或 GPO 统一配置，并规划集中收集。

用途	调整日志容量与保留策略
命令行	wevtutil sl <通道> /ms:<字节数> /rt:true\|false（/rt 是否覆盖旧事件）
GPO	计算机配置 -> 管理模板 -> Windows 组件 -> 事件日志服务

常用示例

wevtutil gl Security
:: 调大到 512MB（字节数）
wevtutil sl Security /ms:536870912
:: 查询当前大小
wevtutil gl System | findstr /i maxSize

生产建议不是“越大越好”：按保留周期+写入速率估算，并配置 WEF/第三方集中收集做长期留存。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌