Windows Event Forwarding: suscripción iniciada por el origen, wecutil y el grupo EventLog Readers

Objetivo

Recopilar las entradas del registro de eventos de Windows de muchos equipos de origen en un único recopilador, mediante una suscripción iniciada por el origen, de modo que se puedan incorporar equipos nuevos por directiva en lugar de editar la suscripción del recopilador para cada uno.

Requisitos previos

Acceso de administrador en el recopilador y en cada origen; para la configuración basada en Kerberos descrita a continuación, todos los equipos deben pertenecer al mismo dominio de Active Directory (los orígenes fuera del dominio requieren una configuración distinta basada en certificados); WinRM configurado en el recopilador y en cada origen (winrm qc -q, como indican las instrucciones de Microsoft).

Pasos

1. En el recopilador, habilite el servicio Windows Event Collector con wecutil qc /q:true (la opción /q:true omite la confirmación interactiva, algo necesario en ejecuciones desatendidas).
2. Redacte un archivo XML de suscripción que describa una suscripción iniciada por el origen: SubscriptionType con el valor SourceInitiated, un ConfigurationMode (Normal, Custom, MinLatency o MinBandwidth), una Query que seleccione el canal y los criterios, y AllowedSourceDomainComputers, un descriptor de seguridad SDDL que indica quién puede reenviar eventos. Según la documentación de Microsoft, si se deja vacío, el valor predeterminado O:NSG:NSD:(A;;GA;;;DC)(A;;GA;;;NS) concede el permiso a todos los Domain Computers.
3. Cree la suscripción en el recopilador con wecutil cs subscription.xml. A continuación, wecutil gs <SubscriptionID> muestra la configuración almacenada de esa suscripción, y wecutil gr <SubscriptionID> (get-subscriptionruntimestatus) muestra el estado de ejecución en vivo de cada equipo de origen incluido en ella.
4. Haga que los equipos de origen apunten al recopilador mediante directiva de grupo: Computer Configuration > Administrative Templates > Windows Components > Event Forwarding > "Configure target Subscription Manager", con un valor como Server=http://<collector FQDN>:5985/wsman/SubscriptionManager/WEC,Refresh=60. Aplique la directiva y ejecute gpupdate /force en un origen para comprobarlo.
5. Para reenviar específicamente el registro Security, la documentación indica que la cuenta NETWORK SERVICE debe agregarse al grupo EventLog Readers; hágalo en cada equipo de origen, ya que el reenviador se ejecuta con esa cuenta y, de lo contrario, no puede leer ese canal. Lo habitual es que la nueva pertenencia al grupo solo surta efecto tras reiniciar el origen (o, al menos, su servicio WinRM).
6. En el recopilador, los eventos reenviados se guardan por defecto en el registro "ForwardedEvents" (salvo que la suscripción especifique otro registro de destino). Compruébelos con Get-WinEvent -LogName ForwardedEvents -MaxEvents 20.

Resultado esperado

wecutil gr <SubscriptionID> en el recopilador muestra cada origen con un estado de ejecución activo; Get-WinEvent -LogName ForwardedEvents devuelve eventos recientes etiquetados con el nombre del equipo de origen.

Límites y base de verificación

Basado en la documentación de Microsoft Learn sobre suscripciones iniciadas por el origen, wecutil y Windows Event Collector. Para deshacer la configuración, elimine la suscripción (wecutil ds <SubscriptionID>) y revierta el objeto de directiva de grupo; los orígenes dejan de reenviar eventos cuando la directiva ya no menciona al recopilador. Un origen que no esté en el grupo EventLog Readers reenviará con normalidad los demás canales, pero omitirá los eventos de Security sin avisar; si faltan eventos de Security en el recopilador, compruebe primero la pertenencia a ese grupo.