设置 Windows EventLog Forwarding（WEF）时，转发机器是否保留日志的本地副本？

Question

我很好奇，转发上述日志的服务器除了转发之外，是否还保留本地副本，或者它生成的所有日志是否都会立即转发给收集器？我在任何设置过程中都找不到有关此的详细信息。看来转发机器默认保留一份副本。我正在尝试设置一个集中式日志服务器，以使本地磁盘空间不受大型日志文件的影响。

参考：

• 使用 Windows 事件转发来帮助入侵检测
• 在 Windows Server 2012 R2 中配置 EventLog 转发的最佳实践
• 监控重要事项 - 适合所有人的 Windows 事件转发
• 如何在 Windows Server 2016 中设置 Windows 事件日志转发

Answer 1

事件转发不会对本地日志内容进行任何操作。本地日志将保留，并根据事件日志覆盖策略过期。